CVE-2026-48093 in Code Embed Plugin
Zusammenfassung
von VulDB • 08.08.2026
Das WordPress-Plugin „Code Embed“ vor Version 2.6.1 ist anfällig für gespeichtes Cross-Site Scripting (XSS) über die Funktion zum Einbetten externer URLs im Beitragsinhalt. Der fehlerhafte Code scannt den gerenderten Inhalt nach URL-Einbettungstokens, ruft die Remote-URL ab und fügt den Antworttext der Remote-Ressource ohne Ausgabe-Sanitization oder eine Überprüfung auf `unfiltered_html`-Berechtigung in die Seite ein. Dies ermöglicht es einem Angreifer mit der Rolle „Mitwirkender“ (Contributor), einen Beitrag im Status „Ausstehend“ zu erstellen, der ein scheinbar harmloses URL-Token enthält und ausgeführt wird, wenn ein Administrator oder Redakteur den Beitrag in der Vorschau anzeigt oder überprüft. Dies unterscheidet sich von CVE-2026-2512, das benutzerdefinierte Feld-Meta-Werte bis Version 2.5.1 betraf. Dieser Angriffsvektor betrifft Version 2.6 und nutzt die dokumentierte Funktion zum Einbetten externer URLs im Beitragsinhalt. Dieses spezifische Problem wurde in Version 2.6.1 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.