CVE-2026-12227 · CVSS 9.8 · The Visual Composer Website Builder plugin for WordPress is vulnerable to Local File Inclusion in all versions up to, and including, …

NVD (CVSS crítico) · 24 sept, 12:17

El plugin Visual Composer Website Builder para WordPress es vulnerable a Local File Inclusion (LFI) en todas las versiones hasta la 45.16.0 a través del parámetro `vcv-template`, permitiendo a atacantes no autenticados incluir y ejecutar archivos arbitrarios en el servidor. La vulnerabilidad permite ejecución de código PHP, obtención de datos sensibles y bypass de controles de acceso, especialmente en escenarios donde se pueden subir archivos de imagen u otros tipos "seguros".