CVE-2026-97348

Nome do Software Vulnerável e Versões Afetadas SiteOrigin Widgets Bundle versões anteriores a 1.74.4

Descrição Existe um problema onde atacantes autenticados com nível de acesso de contribuidor ou superior podem ler arquivos arbitrários no servidor, expondo potencialmente informações sensíveis. Isso ocorre porque o manipulador de shortcode [siteorigin widget] chama a função widget() diretamente em uma instância JSON decodificada fornecida pelo atacante, ignorando o pipeline padrão update() e sanitize field input() que normalmente rejeita valores de cores não hexadecimais. A falha é disparada através da função get instance css(), resultando em Directory Traversal, um método usado para acessar arquivos e diretórios armazenados fora da pasta raiz da web.

Recomendações Atualize o SiteOrigin Widgets Bundle para a versão 1.74.4 ou posterior.