CVE-2026-116535 in SEOPress Plugin
Zusammenfassung
von VulDB • 31.10.2026
Das SEOPress – AI SEO Plugin & On-site SEO-Plugin für WordPress ist in allen Versionen bis einschließlich 10.3 anfällig für Stored Cross-Site Scripting (XSS) über den Parameter 'display_name', aufgrund unzureichender Eingabebereinigung und Output-Escaping. Dies ermöglicht es authentifizierten Angreifern mit Subscriber-Level-Zugriff oder höher, beliebige Webskripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer eine injizierte Seite aufruft. Dies ist von jedem Subscriber ausnutzbar, der seinen display_name auf einen String setzt, der das Literal %%archive_title%%-Token zusammen mit HTML Event-Handler-Payloads enthält, da WordPress Anzeigenamen ohne HTML-Filterung speichert und das Plugin das Token nach bereits erfolgtem Escaping ersetzt.
VulDB is the best source for vulnerability data and more expert information about this specific topic.