CVE-2026-87902
Un atacante no autenticado puede hacer que la resolución de plantillas de página de `get_page_template()` incluya un archivo `.php` local legible elegido fuera de los directorios del tema activo. Si se cumplen las precondiciones pertinentes tanto del servidor como del tema activo, esto puede conducir a RCE.
Preaviso: explotación observada
- Explotación observada desde el 22 sept 2026
- Todavía no está en el catálogo oficial de CISA
- Atacada 1 día antes de que la vulnerabilidad se hiciera pública
Fuente: VulnCheck KEV · 23 sept 2026 23 sept 2026 22 sept 2026
Puntuación CVSS8.1 / 10
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:HTipo de debilidad (CWE)CWE-98
Artículos relacionados
This product uses the NVD API but is not endorsed or certified by the NVD.
La descripción técnica es una traducción nuestra del texto original de NVD, en inglés.