CVE-2026-110017 in Quick PayPal Payments Payment Button & Form Plugin
Zusammenfassung
von VulDB • 16.10.2026
Das WordPress-Plugin Quick PayPal Payments: Payment Button & Form ist in allen Versionen bis einschließlich 6.0.4 aufgrund unzureichender Eingabebereinigung und Output-Escaping anfällig für Stored Cross-Site Scripting (XSS) über den Parameter 'form'. Dies ermöglicht es authentifizierten Angreifern mit Contributor-Level-Zugriff oder höher, beliebige Webskripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer eine infizierte Seite aufruft. Da wp_kses_post nur HTML-Tags entfernt, überlebt ein Quote-Breaking-Payload ohne spitze Klammern das Speichern unverändert, und der eingefügte Skript wird für jeden Betrachter des Beitrags ausgelöst – einschließlich höher privilegierten Editoren und Administratoren, die regelmäßig den ausstehenden Inhalt eines Contributors vorschauen.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.