CVE-2026-13770 in AppMySite Plugin
Zusammenfassung
von VulDB • 19.09.2026
Das Plugin AppMySite – WordPress & WooCommerce Mobile App Builder (No-Code Android & iOS App Maker) für WordPress ist in allen Versionen bis einschließlich 3.15.3 anfällig für Stored Cross-Site Scripting (XSS) über den AJAX-Handler save_ams_license_key, aufgrund unzureichender Eingabebereinigung und Ausgabe-Escaping. Dies ermöglicht es authentifizierten Angreifern mit Subscriber-Level-Zugriff oder höher, beliebige Webskripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer eine infizierte Seite aufruft. Der save_ams_license_key AJAX-Handler führt keine Berechtigungsprüfung und keine Nonce-Verifikation durch, was bedeutet, dass jeder authentifizierte Benutzer mit Subscriber-Level-Zugriff oder höher diesen Aufruf nutzen kann, um die bösartige Payload zu speichern.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.