CVE-2026-116615

Nome do Software Vulnerável e Versões Afetadas Widget Options – Advanced Conditional Visibility for Gutenberg Blocks & Classic Widgets versões anteriores a 4.2.6.2

Descrição A injeção de código é possível através do parâmetro post content devido a uma análise assimétrica entre o filtro de remoção no momento do salvamento (widgetopts strip logic from blocks()) e o analisador no momento da renderização (blockopts filter before display()). Ao incorporar um literal <!--start widgetopts interno dentro de uma chave JSON, a função json decode no lado da gravação não identifica a chave class e ignora a remoção, permitindo que a carga útil seja armazenada no banco de dados. Durante a renderização, o str replace reconstitui a chave para class, enviando o valor logic controlado pelo invasor diretamente para o @eval. Atacantes autenticados com nível de acesso de Autor ou superior podem injetar expressões PHP que são executadas em cada visualização de página no front-end. Isso permite a exfiltração de dados de configuração do site via oráculo booleano, como endereços de e-mail de administradores e funções padrão, usando get option, get user meta e get post meta. Isso pode escalar para a execução irrestrita de código se qualquer plugin instalado estender o filtro widgetopts allowed php functions. Além disso, Colaboradores podem explorar isso se um administrador publicar sua submissão. A carga útil é executada para todos os visitantes, incluindo usuários não autenticados, porque um mecanismo de flag de confiança na versão 4.2.6 faz com que o widgetopts safe eval trusted() ignore seu curto-circuito de não-administrador.

Recomendações Atualize o Widget Options – Advanced Conditional Visibility for Gutenberg Blocks & Classic Widgets para a versão 4.2.6.2 ou posterior.