PT-2026-43540 · WordPress · Query Shortcode

Dj + 1 · Publicado 2026-05-27 · Atualizado 2026-06-04 · CVE-2026-9200

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Query Shortcode versões anteriores a 0.2.2

Descrição O plugin Query Shortcode para WordPress contém um problema de Inclusão de Arquivo Local (Local File Inclusion) na função de shortcode. Atacantes autenticados com nível de acesso de contribuidor ou superior podem explorar isso usando o atributo de shortcode lens para incluir e executar arquivos .php arbitrários no servidor. Isso permite a execução de código PHP, que pode ser usado para ignorar controles de acesso ou obter dados sensíveis, particularmente quando arquivos .php podem ser carregados para o servidor.

Recomendações Atualize o plugin para uma versão posterior a 0.2.1.

Correção

Enumeração de Fraquezas

CWE-98

Identificadores relacionados

CVE-2026-9200

Produtos afetados

Query Shortcode

Referências · 8

• https://t.me/CVEtracker/55072 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/28df760b-6b15-41ca-b93f-9d24dbbd9fc4?source=cve · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-9200 · Nota de Segurança
• https://reddit.com/r/StopBadBots/comments/1twww49/insane_record_145_wordpress_plugins_exposed_with · Publicação no Reddit
• https://plugins.trac.wordpress.org/browser/query-shortcode/trunk/init.php#L56 · Nota
• https://plugins.trac.wordpress.org/browser/query-shortcode/trunk/init.php#L178 · Nota
• https://plugins.trac.wordpress.org/browser/query-shortcode/trunk/init.php#L97 · Nota
• https://twitter.com/DFIR_Lab/status/2061247716349407381 · Publicação no Twitter