CVE-2026-2358 in WP ULike Plugin
Zusammenfassung
von VulDB • 01.08.2026
Das WP ULike-Plugin für WordPress ist in allen Versionen bis einschließlich 5.0.1 anfällig für Stored Cross-Site Scripting (XSS) über das `template`-Attribut des Shortcodes `[wp_ulike_likers_box]`. Dies liegt an der Verwendung von `html_entity_decode()` bei Shortcode-Attributen ohne nachfolgende Ausgabe-Sanitierung, wodurch die Inhaltsfilterung von WordPress durch `wp_kses_post()` effektiv umgangen wird. Dadurch ist es authentifizierten Angreifern mit Contributor-Rechten oder höher möglich, beliebige Web-Skripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer eine injizierte Seite aufruft. Der Beitrag muss mindestens einen Like haben, damit das XSS gerendert wird.
If you want to get best quality of vulnerability data, you may have to visit VulDB.