CVE-2026-87741

Wtyczka ConvertPlus do WordPressa jest podatna na deserializację niezaufanych danych we wszystkich wersjach, aż do 3.6.3 włącznie, poprzez parametr style akcji AJAX cp_display_preview_modal. Luka istnieje, ponieważ ochrona nonce akcji jest bramkowana za sprawdzeniem isset() i nie udaje się jej otworzyć, gdy parametr cp_admin_page_nonce zostanie całkowicie pominięty, przy wywołaniu zwrotnym nie jest przeprowadzane żadne sprawdzanie możliwości, a funkcja sanitize_text_field() — zastosowana do wartości $style przed połączeniem jej bezpośrednio z ciągiem krótkiego kodu ocenianym przez do_shortcode() — nie usuwa ograniczników krótkiego kodu, umożliwiając atakującemu wstrzyknięcie drugiego, pełnego Kontrolowane przez atakującego wywołanie [smile_modal], które powoduje, że Smile_modal_popup() przekazuje dostarczone przez atakującego bajty zdekodowane w formacie Base64 do funkcji Maybe_unserialize() bez ograniczeń dozwolonych_klas. Dzięki temu uwierzytelnieni atakujący z dostępem na poziomie subskrybenta i wyższym mogą wstrzyknąć obiekt PHP. W oprogramowaniu zawierającym lukę nie występuje żaden znany łańcuch POP, co oznacza, że ​​ta luka nie ma żadnego wpływu, chyba że w witrynie zostanie zainstalowana inna wtyczka lub motyw zawierający łańcuch POP. Jeśli łańcuch POP jest obecny za pośrednictwem dodatkowej wtyczki lub motywu zainstalowanego w systemie docelowym, może umożliwić osobie atakującej wykonanie takich działań, jak usunięcie dowolnych plików, pobranie poufnych danych lub wykonanie kodu w zależności od obecności łańcucha POP.