CVE-2026-6020
Publiée le 2026-08-05 · Dernière modification le 2026-08-12
Les sites WordPress utilisant l'extension ShopLentor (version 3.3.7 et versions antérieures) sont susceptibles de subir l'exécution de fonctions arbitraires. Un attaquant disposant d'identifiants de niveau Administrateur peut utiliser un point de terminaison REST API spécifique pour exécuter n'importe quelle fonction PHP sur votre serveur, ce qui pourrait entraîner une compromission complète du site. Cette attaque peut être effectuée à distance via le réseau sans aucune interaction de l'utilisateur, bien qu'elle nécessite un accès à un compte de haut niveau pour être exécutée.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The ShopLentor plugin for WordPress is vulnerable to arbitrary function execution via the woolentoropt/v1/custom-action REST API endpoint in all versions up to, and including, 3.3.7. This is due to the handle_action() method passing user-supplied input directly to call_user_func() without an allowlist of permitted callbacks. This makes it possible for authenticated attackers, with Administrator-level access and above, to execute arbitrary PHP callable functions via the 'callback' parameter.