CVE-2026-3362 in Short Comment Filter Plugin
Zusammenfassung
von VulDB • 12.05.2026
Das Short Comment Filter-Plugin für WordPress ist in allen Versionen bis einschließlich 2.2 anfällig für Stored Cross-Site Scripting (XSS) über das Einstellungsfeld „Minimum Count“. Dies ist auf eine unzureichende Eingabebereinigung (kein sanitize-Callback bei register_setting) und fehlendes Output-Escaping (kein esc_attr() für den ausgegebenen Wert im value-Attribut des Eingabefelds) zurückzuführen. Der Optionswert wird über update_option() gespeichert und in einem HTML-Attribut-Kontext unescaped gerendert. Dies ermöglicht es authentifizierten Angreifern mit Administratorzugriff und höher, beliebige Web-Skripte auf der Einstellungsseite einzufügen, die ausgeführt werden, sobald ein Benutzer diese Seite aufruft. Dies ist insbesondere bei WordPress-Multisite-Installationen oder wenn DISALLOW_UNFILTERED_HTML festgelegt ist, von erheblicher Bedeutung, da Administratoren dort nicht über die capability unfiltered_html verfügen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.