CVE-2026-16610

WordPress için Admin and Site Enhancements (ASE) Pro eklentisinin 8.9.0 dahil tüm önceki sürümleri, recursive_html fonksiyonu üzerinden Uzaktan Kod Çalıştırma zafiyetine sahiptir. Bu durum; ön uç kayıt yöneticisinin kimlik doğrulama kontrolü olmaksızın yalnızca herkese açık olarak yayınlanan bir nonce uygulamasından, CAPTCHA doğrulamasının saldırgan tarafından sağlanan bir anahtarın eksiltilmesiyle atlatılabilmesinden ve cfgroup[input] içerisindeki tekrarlayıcı satır anahtarlarının olduğu gibi saklanıp daha sonra herhangi bir temizleme veya tanımlayıcı doğrulaması yapılmadan recursive_html içindeki bir eval() çağrısına eklenmesinden kaynaklanmaktadır. Bu durum, kimliği doğrulanmamış saldırganların sunucu üzerinde kod çalıştırmasını mümkün kılar. Zafiyetli kayıt yöneticisine ulaşmak için gereken nonce ve oturum kimliğinin söz konusu kısa kod tarafından kimliği doğrulanmamış ziyaretçilere iletilmesi nedeniyle, bu durumun gerçekleşmesi için [post_cf_form] kısa kodunun herkese açık en az bir sayfada mevcut olması gerekir.