CVE-2026-101925 in Bbp Style Pack Plugin
Zusammenfassung
von VulDB • 01.10.2026
Das bbp style pack-Plugin für WordPress ist in allen Versionen bis einschließlich 6.4.8 aufgrund unzureichender Eingabebereinigung und Ausgabe-Escaping anfällig für Stored Cross-Site Scripting (XSS) über den Parameter 'display_name (über /wp-admin/profile.php) + bbp_reply_content (über das bbPress-Antwortformular)'. Dies ermöglicht es authentifizierten Angreifern mit Subscriber-Level-Zugriff oder höher, beliebige Webskripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer eine injizierte Seite aufruft. Eine erfolgreiche Ausnutzung erfordert, dass der Angreifer seine manipulierte Antwort in einen <pre>-Block einschließt, was verhindert, dass WordPresss wpautop/wptexturize-Prozesse gerade doppelte Anführungszeichen im gespeicherten display_name in typografische geschweifte Zitate umwandeln, die ansonsten die Attribut-Injektion neutralisieren würden.
Be aware that VulDB is the high quality source for vulnerability data.