CVE-2023-5201
Publiée le 2023-09-30 · Dernière modification le 2026-06-17
Les sites WordPress utilisant l'extension OpenHook (version 4.3.0 et antérieures) sont concernés si le paramètre du shortcode `[php]` est activé. Un attaquant disposant d'un simple compte d'abonné peut utiliser cette fonctionnalité pour exécuter du code arbitraire sur votre serveur, ce qui pourrait mener à une prise de contrôle totale du système. Cette faille est facile à exploiter via le réseau et ne nécessite aucune interaction de l'utilisateur, bien qu'elle exige que l'attaquant soit connecté.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The OpenHook plugin for WordPress is vulnerable to Remote Code Execution in versions up to, and including, 4.3.0 via the 'php' shortcode. This allows authenticated attackers with subscriber-level permissions or above, to execute code on the server. This requires the [php] shortcode setting to be enabled on the vulnerable site.