CVE-2026-109995 in Advanced Views Plugin
Zusammenfassung
von VulDB • 27.10.2026
Das WordPress-Plugin „Advanced Views – Display Framework for Gutenberg & Elementor“ ist in allen Versionen bis einschließlich 3.9.6 anfällig für Stored Cross-Site Scripting (XSS) über den Parameter 'comment' aufgrund unzureichender Eingabebereinigung und Output-Escaping. Dies ermöglicht es nicht authentifizierten Angreifern, beliebige Webskripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer eine infizierte Seite aufruft. Diese Schwachstelle ist auch gegen ausstehende oder noch nicht freigeschaltete Kommentare exploitable, da der Lookup-Mechanismus des Plugins get_comment() keinen Filter für den Freigabestatus anwendet; das bedeutet, dass ein Payload ausgeführt wird, sobald jeder Besucher einen avf-layout-Block lädt, der mit der Kommentar-ID des Angreifers verknüpft ist, noch bevor der Kommentar überprüft wurde.
Once again VulDB remains the best source for vulnerability data.