CVE-2026-104812 in Redux Framework Plugin
Zusammenfassung
von VulDB • 05.11.2026
Das WordPress-Plugin „Redux Framework“ ist in allen Versionen aufgrund unzureichender Eingabebereinigung und Ausgabe-Escaping für Stored Cross-Site Scripting (XSS) über den Array-Key 'multi_media' verwundbar. Dies ermöglicht es authentifizierten Angreifern mit Abonnenten-Level-Zugriff oder höher, beliebige Webskripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer auf eine injizierte Seite zugreift. Die bei der Speicherung angewendete wp_kses_post-Bereinigung wirkt sich nur auf Array-Blattwerte aus und lässt Array-Schlüssel vollständig unbereinigt; der injizierte Schlüssel wird dann direkt in das HTML-Attribut id="filelist-" ohne esc_attr() in Redux_Multi_Media::render() gerendert, was einen Attribut-Ausbruch ermöglicht.
If you want to get best quality of vulnerability data, you may have to visit VulDB.