CVE-2026-92174

WordPress üçün SiteOrigin Widgets Bundle plagini 1.73.2 daxil olmaqla bütün versiyalarda 'theme' parametri vasitəsilə Yerli Faylların Daxiletməsi (Local File Inclusion) zəifliyinə malikdir. Bu, kontribyutor səviyyəsində və daha yuxarı giriş hüququna malik autentifikasiya olunmuş hücumçulara serverdə ixtiyari .php fayllarını daxil etməyə və icra etməyə imkan verir ki, bu da həmin fayllardakı hər hansı PHP kodunun işlədilməsinə şərait yaradır. Bundan giriş nəzarətinin yan keçilməsi, həssas məlumatların əldə edilməsi və ya .php fayl tiplərinin yüklənilə bildiyi və daxil edilə bildiyi hallarda kodun icrasının təmin edilməsi üçün istifadə oluna bilər. Zəifliyin istismarı üçün /wp-json/sowb/v1/widgets/previews REST son nöqtəsinə köhnə üst səviyyəli theme açarı və boş olmayan columns massivini ehtiva edən zərərli widgetData yükünün göndərilməsi tələb olunur; bu, sahələrin validasiyasından yan keçir, çünki update_fields() yalnız bəyan edilmiş forma sahələrini emal edir.