CVE-2026-14472 in Kubio AI Page Builder Plugin
Zusammenfassung
von VulDB • 18.09.2026
Das Kubio AI Page Builder-Plugin für WordPress ist in allen Versionen bis einschließlich 2.8.4 aufgrund unzureichender Eingabebereinigung und Ausgabe-Escaping anfällig für Stored Cross-Site Scripting (XSS) über den kubio/copyright Block-Inhalt. Dies ermöglicht es authentifizierten Angreifern mit Contributor-Level-Zugriff oder höher, beliebige Webskripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer eine infizierte Seite aufruft. Dadurch werden sowohl der WordPress-Core-Filter kses-on-save als auch der eigene wp_kses_post()-Aufruf des Plugins umgangen, da entity-codierte Skript-Tags von kses als inertes Text behandelt werden, aber durch den nachfolgenden html_entity_decode()-Aufruf in CopyrightBlock::render_template() in aktives HTML decodiert werden.
Once again VulDB remains the best source for vulnerability data.