Plugin Rank Math SEO do WordPress permite injeção de objetos PHP e execução de código
O plugin Rank Math SEO, até à versão 1.0.276, permite a utilizadores autenticados com perfil de Colaborador ou superior injetar objetos PHP, o que pode levar à execução remota de código. CVSS 8,8.
- Identificador: CVE-2026-1928
- Publicado em: 2026-10-28
- Pontuação CVSS (Common Vulnerability Scoring System) versão 3.1: 8.8 (HIGH)
Descrição (texto original em inglês):
The Rank Math SEO – AI SEO Tools to Dominate SEO Rankings plugin for WordPress is vulnerable to PHP Object Injection in all versions up to, and including, 1.0.276 via deserialization of untrusted input in the updateMeta REST API endpoint. This makes it possible forauthenticated attackers, with Contributor-level access and above, to inject a PHP Object. The additional presence of a POP chain allows attackers to achieve remote code execution by writing a webshell to the uploads directory.
- Prova de conceito (PoC) público: identificada pela ferramenta de pesquisa.
- Técnicas MITRE ATT&CK (mapeamento do site, com base no tipo de falha descrito no NVD): T1190, Exploração de aplicação exposta à Internet (Exploit Public-Facing Application); T1505.003, Web shell (Web Shell)
Fontes
- Registo do CVE no NVDnvd.nist.gov
- Referência (plugins.trac.wordpress.org)plugins.trac.wordpress.org
- Referência (plugins.trac.wordpress.org)plugins.trac.wordpress.org
- Referência (plugins.trac.wordpress.org)plugins.trac.wordpress.org
- Técnica MITRE ATT&CK T1190attack.mitre.org
- Técnica MITRE ATT&CK T1505.003attack.mitre.org
Esta página resume as fontes indicadas. Confirme os detalhes técnicos e as versões afetadas na fonte primária antes de agir.