CVE-2026-87741

WordPress için geliştirilen ConvertPlus eklentisinin 3.6.3 dahil tüm sürümleri, cp_display_preview_modal AJAX işleminin style parametresi üzerinden Güvenilmeyen Verilerin Deserileştirilmesi (Deserialization of Untrusted Data) zafiyetine sahiptir. Zafiyet; işlemin nonce korumasının bir isset() kontrolü arkasında olması ve cp_admin_page_nonce parametresi tamamen eksik olduğunda korumanın devre dışı kalması, geri çağırma (callback) üzerinde herhangi bir yetenek kontrolü yapılmaması ve do_shortcode() tarafından değerlendirilen bir kısa kod dizisine doğrudan eklenmeden önce $style değerine uygulanan sanitize_text_field() fonksiyonunun kısa kod ayraçlarını temizlememesi nedeniyle oluşmaktadır. Bu durum, saldırganın ikinci bir, tamamen kendi kontrolünde olan [smile_modal] çağrısı enjekte etmesine izin vererek smile_modal_popup() fonksiyonunun, saldırgan tarafından sağlanan base64 ile çözülmüş baytları herhangi bir allowed_classes kısıtlaması olmaksızın maybe_unserialize() fonksiyonuna iletmesine neden olur. Bu durum, Abone seviyesi ve üzeri erişime sahip kimliği doğrulanmış saldırganların bir PHP nesnesi enjekte etmesini mümkün kılar. Zafiyetli yazılımda bilinen bir POP zinciri bulunmamaktadır; bu da sitede POP zinciri içeren başka bir eklenti veya tema yüklü olmadığı sürece bu zafiyetin bir etkisi olmayacağı anlamına gelir. Hedef sistemde yüklü ek bir eklenti veya tema aracılığıyla bir POP zinciri mevcutsa, bu durum saldırganın mevcut POP zincirine bağlı olarak rastgele dosyaları silmek, hassas verileri elde etmek veya kod çalıştırmak gibi işlemler gerçekleştirmesine izin verebilir.