CVE-2026-116520 in PPWP Plugin
Zusammenfassung
von VulDB • 31.10.2026
Das PPWP – Password Protect Pages Plugin für WordPress ist in allen Versionen bis einschließlich 1.9.26 aufgrund unzureichender Eingabebereinigung und Ausgabe-Escaping anfällig für Stored Cross-Site Scripting (XSS) über den Parameter 'comment / shortcode attribute desc_below_form (und placeholder als Marker-Smuggling-Helfer)'. Dies ermöglicht es nicht authentifizierten Angreifern, beliebige Webskripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer eine infizierte Seite aufruft. Diese Schwachstelle ist für nicht authentifizierte Angreifer ausnutzbar, da der WordPress-Filter comment_content reinen Shortcode-Text (der keine HTML-Tags enthält) unverändert lässt und die Einstellung comment_whitelist nachfolgende Kommentare von einem zuvor genehmigten Namen und E-Mail-Adresse ohne Administratorintervention automatisch freigibt.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.