CVE-2026-111628lowCWE-502

CVE-2026-111628: falha de baixa gravidade em 10up Distributor

10up Distributor before 2.3.2 PHP Object Injection via set_meta()

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar Distributor

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

8Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 2.3epss 0.3%
10up Distributor before 2.3.2 contains a PHP object injection vulnerability that allows Contributor-level users to instantiate PHP objects by double unserializing distributed post meta. Attackers can store a serialized PHP string as meta, which set_meta() in includes/utils.php unserializes on the destination site, storing attacker-defined objects whose impact depends on loaded gadget classes.
CVSS:4.0/AV:N/AC:H/AT:P/PR:L/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N
Produtos afetados
10up · Distributor
CVEs relacionadas — 10up Distributor

No mesmo produto, das mais perigosas para as menos.

CVE-2026-111625MEDIUM10up Distributor before 2.3.2 Missing Authorization via dt_push AJAX ActionEPSS 0.2%CVE-2026-111631MEDIUMDistributor before 2.3.2 Missing Authorization in External Connection AJAX ActionsEPSS 0.2%