CVE-2026-7654
Admin Columns <= 7.0.18 - Injeção de Objeto PHP Autenticada (Contribuidor+) para Execução Remota de Código via Valor de Meta de Campo Personalizado
- Publicado
- 5 de jun. de 2026
- Atualizado
- 6 de jun. de 2026
- Atribuindo CNA
- Wordfence
- Evidência observada
- 8 de ago. de 2026
CVSS primário
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HBaixo · próximos 30 dias
- Percentil
- 68,4%
- Data do modelo
- 15 de out. de 2026
EPSS é uma estimativa estatística, não uma certeza ou uma medida de impacto. Combine-o com CVSS, status KEV, exposição e seu ambiente.
Resumo
O plugin Admin Columns para WordPress é vulnerável a Injeção de Objeto PHP, levando à Execução Remota de Código nas versões até 7.0.18 inclusive. Isso se deve ao uso de `unserialize()` sem uma restrição de `allowed_classes` na função `IdsToCollection::get_ids_from_string()`, que processa valores de meta de post controlados pelo atacante sem validação adequada. Isso torna possível que atacantes autenticados com acesso de nível Contributor e superior injetem um objeto PHP serializado no campo de meta personalizado de um post e acionem a execução arbitrária de código ao explorar uma cadeia de gadget POP incluída no pacote, resultando em execução remota de código como o usuário do servidor web.
Fontes
- CVE-2026-7654Exploit
Exploit de prova de conceito para CVE-2026-7654 direcionado à injeção de objetos PHP no plugin Admin Columns do WordPress para alcançar execução remota de código.
Uso responsável
Use informações de vulnerabilidade apenas em sistemas que você possui ou está autorizado a testar. O Kitploit vincula-se a metadados de pesquisa pública e não armazena código de exploração ou cargas maliciosas.