CVE-2026-15158: Blocksy Companion <= 2.1.46 - Caricamento Arbitrario di File Non Autenticato tramite il Parametro 'blc-review-images[]' | Kitploit

CVE-2026-15158

CriticoPubblicato

Blocksy Companion <= 2.1.46 - Caricamento Arbitrario di File Non Autenticato tramite il Parametro 'blc-review-images[]'

Pubblicato: 9 lug 2026
Aggiornato: 9 lug 2026
Assegnazione CNA: Wordfence
Evidenza osservata: 28 ago 2026

CVSS primario

9,8/ 10Critico

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Stima della probabilità EPSS

1,1%

Basso · prossimi 30 giorni

Percentile: 62,9%
Data del modello: 21 set 2026

L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.

Riepilogo

Il plugin Blocksy Companion per WordPress è vulnerabile al Caricamento Arbitrario di File in tutte le versioni fino alla 2.1.46 inclusa, tramite la funzione save_attachments. Ciò è dovuto al fatto che l'estensione Custom Fonts registra un filtro wp_check_filetype_and_ext che approva qualsiasi nome file contenente .woff2 o .ttf come sottostringa tramite strpos() invece di verificare che tali stringhe appaiano come estensione finale tramite PATHINFO_EXTENSION — consentendo a nomi file con doppia estensione come shell.woff2.php di superare la validazione MIME ed essere gestiti come file di font consentiti. Questo rende possibile ad attaccanti non autenticati caricare file che potrebbero essere eseguibili, rendendo possibile l'esecuzione remota di codice. Questa vulnerabilità è sfruttabile solo quando è installata la versione premium del plugin (blocksy-companion-pro) con entrambe le estensioni WooCommerce Extra (Advanced Reviews) e Custom Fonts attive; il plugin gratuito blocksy-companion non contiene i percorsi di codice vulnerabili.

Fonti

CVE-2026-58480Exploit
CVE-2026-58480 / CVE-2026-15158 — RCE non autenticato in Blocksy Companion Pro < 2.1.47 (oltre 300K installazioni). Caricamento arbitrario di file senza autenticazione tramite bypass della doppia estensione.

Utilizzo responsabile

Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.