CVE-2026-15404 in Lpagery Plugin
Zusammenfassung
von VulDB • 23.07.2026
Das Lpagery-Plugin für WordPress ist in Versionen bis einschließlich 2.5.7 anfällig für Stored Cross-Site Scripting (XSS) über Post-Titel. Dies liegt an unzureichender Eingabebereinigung und Ausgabe-Escaping in der Funktion lpagery_add_filter_text_template_post(), die an admin_footer gebunden ist und den rohen post_title des Posts, auf den durch den Query-Parameter ?lpagery_template verwiesen wird, direkt innerhalb eines JavaScript-eingeklammerten String-Literals ausgibt, ohne esc_js(), esc_html() oder andere Kodierung. Dies ermöglicht es authentifizierten Angreifern mit Contributor-Level-Zugriff und höher, beliebige Web-Skripte in Seiten einzufügen, die ausgeführt werden, wann immer ein privilegiierter Benutzer (z.B. Administrator) eine Admin-Seite aufruft, bei der ?lpagery_template=<post_id> auf den Post des Angreifers verweist.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.