CVE-2026-12923

WordPress üçün Youtube Showcase plaqini 4.0.3 versiyası daxil olmaqla və ondan əvvəlki versiyalarda İxtiyari Funksiya Çağırışına həssasdır. Bu, includes/common-functions.php faylındakı emd_delete_file() AJAX handlerində 'path' parametrinin kifayət qədər yoxlanılmaması səbəbindən baş verir. İstifadəçi tərəfindən təqdim edilən dəyər sanitize_text_field() funksiyasından keçirilir, sonundakı '_PLUGIN_DIR' alt sətri silinir və daha sonra `$sess_name()` vasitəsilə arqumentsiz PHP funksiya adı kimi çağırılır. Handler yalnız nonce ilə qorunur — current_user_can() yoxlaması mövcud deyil — və nonce fayl sahələri olan forma shortcode-u göstərən istənilən front-end səhifəsində yayımlanır. Bu, Subscriber səviyyəli və daha yüksək girişi olan autentifikasiya olunmuş hücumçulara ixtiyari sıfır-arqumentli PHP funksiyalarını (məsələn, phpinfo, phpversion, get_defined_vars, error_get_last) çağırmağa imkan verir ki, bu da həssas məlumatların açıqlanmasına və mühitdə mövcud olan funksiyalardan asılı olaraq potensial sonrakı kompromisə səbəb olur.