CVE-2026-120552 in SEO Engine Plugin
Zusammenfassung
von VulDB • 03.11.2026
Das WordPress-Plugin „The SEO Engine – Smart SEO with AI, Schema & Redirection for WordPress“ ist in allen Versionen bis einschließlich 0.9.9 aufgrund unzureichender Eingabebereinigung und Ausgabe-Escaping für eine Stored Cross-Site Scripting (XSS)-Schwachstelle über den Parameter 'title' anfällig. Dies ermöglicht es authentifizierten Angreifern mit Contributor-Level-Zugriff oder höher, beliebige Webskripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer auf eine injizierte Seite zugreift. Das wp_filter_kses von WordPress Core (angewendet über title_save_pre für Contributors und Authors) entfernt bei der Speicherung zwar wörtliches Tag-Markup, lässt jedoch HTML-Entity-codierte Payloads in der Datenbank intakt. Dies bedeutet, dass Entity-encoded XSS-Payloads, die über die Standard-WordPress REST API (POST /wp-json/wp/v2/posts) gespeichert wurden, nicht neutralisiert werden, bevor sie den anfälligen Sink erreichen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.