CVE-2026-4327

WordPress için geliştirilen The Welcomizer eklentisi, 2.8.1 dahil tüm sürümlerinde Uzaktan Kod Çalıştırma zafiyetine sahiptir. Bu durum, twiz_ajax_callback AJAX işleminin 'savesection' yöneticisindeki yetkilendirme kontrollerinin eksikliği ile ön yüzde kullanıcı tarafından sağlanan 'custom logic' kodunu yürütmek için eval() fonksiyonunun kullanılmasının birleşmesinden kaynaklanmaktadır. twiz-ajax.php üzerindeki AJAX yöneticisi bir nonce doğrulaması yapar ancak ACTION_SAVE_SECTION durumu için herhangi bir current_user_can() yetenek kontrolü gerçekleştirmez. Ayrıca, nonce değeri; WordPress'i yükleyen ve nonce değerini çıktı olarak veren, doğrudan erişilebilir twiz-ajax.js.php dosyası aracılığıyla herhangi bir kimliği doğrulanmış kullanıcıya ifşa edilmektedir. Bu durum, Abone seviyesi ve üzeri erişime sahip kimliği doğrulanmış saldırganların, çıktı seçeneği 'twiz_logic_output' olan bir bölümü kaydederken twiz_custom_logic POST parametresi üzerinden rastgele PHP kodu enjekte etmelerini mümkün kılmaktadır.