CVE-2026-12227

概要

WordPress用のVisual Composer Website Builderプラグインは、`vcv-template`パラメータを介して、バージョン45.16.0以前のすべてのバージョンにおいてローカルファイルインクルージョンの脆弱性があります。これにより、認証されていない攻撃者がサーバー上の任意のファイルをインクルードして実行することが可能になり、それらのファイル内の任意のPHPコードを実行できるようになります。これは、アクセス制御をバイパスしたり、機密データを取得したり、画像やその他の「安全な」ファイルタイプがアップロードおよびインクルードされる場合にコード実行を達成するために使用される可能性があります。

ソース

• CVE-2026-12227-visualcomposer-lfi-pocPoC

  CVE-2026-12227（Visual Composer の vcv-template を介した未認証 LFI）向けの Docker 検証ラボおよび safe-oracle PoC。nuclei 検出テンプレート付き。

• CVE-2026-12227PoC

  CVE-2026-12227（WordPress Visual Composer Website Builder の vcv-template パラメータを介した非認証のローカルファイルインクルージョン）に対応する Python 3 の PoC およびスキャナー。