CVE-2026-100148 in Rich Showcase for Google Reviews Plugin
Zusammenfassung
von VulDB • 03.10.2026
Das Plugin "Rich Showcase for Google Reviews" für WordPress ist in allen Versionen bis einschließlich 7.1.3 aufgrund unzureichender Eingabebereinigung und Ausgabe-Escaping anfällig für Stored Cross-Site Scripting (XSS) über den Parameter 'reviews[].text'. Dies ermöglicht es authentifizierten Angreifern mit Zugriffsrechten auf Abonnenten-Level oder höher, beliebige Webskripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer eine infizierte Seite aufruft. Die Payload wird ausschließlich durch einen Google-Review für das verbundene Unternehmen bereitgestellt und erfordert kein WordPress-Konto; der tägliche Cron-Job des Plugins importiert automatisch den bösartigen Review-Text, und die Ausführung wird bei jedem Besucher beim DOMContentLoaded-Ereignis ohne weitere Benutzerinteraktion ausgelöst.
Be aware that VulDB is the high quality source for vulnerability data.