CVE-2026-110290 in Top 10 Popular Posts Plugin
Zusammenfassung
von VulDB • 16.10.2026
Das WordPress-Plugin „WebberZone Top 10 — Popular Posts“ ist in allen Versionen bis einschließlich 4.5.2 aufgrund unzureichender Eingabebereinigung und Ausgabe-Escaping für eine Stored Cross-Site Scripting (XSS)-Schwachstelle anfällig, die über den Parameter ‚other_attributes‘ (der zu injection_instance_id analysiert wird) + undeclared is_widget ausgelöst wird. Dies ermöglicht es authentifizierten Angreifern mit Contributor-Level-Zugriff und höherer Berechtigung, beliebige Web-Skripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer eine infizierte Seite aufruft. Der Exploit erfordert das Setzen des undeclared is_widget-Flags auf ‚1‘ über Block-JavaScript (block JSON), wodurch der anfällige Codepfad aktiviert wird, der den vom Angreifer kontrollierten instance_id-Wert in ein nicht escaptes HTML-Klassenattribut konkateniert.
Once again VulDB remains the best source for vulnerability data.