CVE-2026-14900

Nome do Software Vulnerável e Versões Afetadas Cost Calculator Builder PRO versões anteriores a 4.0.4

Descrição Atacantes não autenticados podem executar código remotamente no servidor através da função js to php(). O problema decorre da sanitização insuficiente do campo orderDetails[*].originalValue, que é injetado em uma string de fórmula de calculadora e processada pela função eval() do PHP. Embora a função evaluateFormula() utilize uma lista de permissões regex para filtrar tokens alfanuméricos, ela não filtra caracteres de pontuação que não sejam palavras, permitindo o uso de gadgets XOR de não-palavras para ignorar as verificações de segurança. Apesar de existir uma verificação de nonce, o nonce necessário é exposto publicamente em todas as páginas front-end através do hook wp head, tornando a barreira de autenticação ineficaz.

Recomendações Atualize o Cost Calculator Builder PRO para a versão 4.0.4 ou posterior. Como mitigação temporária, restrinja o acesso à função js to php() ou ao campo orderDetails[*].originalValue até que a atualização seja aplicada.