CVE-2026-118057 in Shield Security Plugin
Zusammenfassung
von VulDB • 31.10.2026
Das WordPress-Plugin „Shield Security – Smart Bot Blocking, Brute-Force Login Protection & File Scanning“ ist in allen Versionen bis einschließlich 22.3.2 aufgrund unzureichender Eingabebereinigung und Ausgabe-Escaping für eine Stored Cross-Site Scripting (XSS)-Schwachstelle anfällig über den Parameter 'REQUEST_URI'. Dies ermöglicht es nicht authentifizierten Angreifern, beliebige Webskripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer auf eine injizierte Seite zugreift. Die versteckte Spalte „path“ in ForTraffic.php verfügt über keine clientseitige Renderfunktion, sodass DataTables ihre Zelle via innerHTML erstellt; dadurch wird im path-Wert gespeicherter HTML-Code in lebende DOM-Knoten geparst. Eine vorherige teilweise Korrektur in Version 18.5.8 fügte esc_html() nur für die sichtbare Spalte „page“ hinzu, wodurch das versteckte Feld „path“ unescaped und bis zur Version 22.2.6 ausnutzbar blieb.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.