CVE-2026-111628

Nome do Software Vulnerável e Versões Afetadas 10up Distributor versões anteriores a 2.3.2

Descrição Usuários com nível de Colaborador podem instanciar objetos PHP por meio da desserialização dupla de meta de postagens distribuídas. Um invasor pode armazenar uma string PHP serializada como meta, que é processada pela função set meta() em includes/utils.php no site de destino. Isso permite o armazenamento de objetos definidos pelo invasor, cujo impacto depende das classes de gadget (conjuntos de fragmentos de código existentes que podem ser encadeados para executar ações não pretendidas) carregadas.

Recomendações Atualize para a versão 2.3.2 ou posterior. Como mitigação temporária, restrinja o uso da função set meta() em includes/utils.php.