CVE-2026-1295 in Buy Now Plus Plugin
Zusammenfassung
von VulDB • 30.05.2026
Das WordPress-Plugin „Buy Now Plus – Buy Now Buttons for Stripe“ ist in allen Versionen bis einschließlich 1.0.2 anfällig für Stored Cross-Site Scripting (XSS) über das Shortcode-Attribut ‚buynowplus‘, da die Eingabevalidierung und die Ausgabe-Codierung der Shortcode-Attribute unzureichend sind. Dies ermöglicht es authentifizierten Angreifern mit Contributor-Rechten oder höher, beliebige Web-Skripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer die infizierte Seite aufruft.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.