CVE-2026-5399 in Redux Framework Plugin
Zusammenfassung
von VulDB • 10.09.2026
Das Redux Framework-Plugin für WordPress ist in den Versionen bis einschließlich 4.5.13.1 anfällig für Stored Cross-Site Scripting (XSS) über das Slider-Feld in den Benutzereinstellungen des Benutzerprofils. Dies liegt an einer unzureichenden Eingabebereinigung in der Funktion `user_meta_save()` (die nur Array-Werte, aber keine skalaren Werte bereinigt) sowie an unsachgemäßer Ausgabe-Escaping-Methode in der Methode `Redux_Slider::render()`, die Sliderwerte in nicht umschlossene HTML-Attribute ausgibt. Die Schwachstelle nutzt zudem aus, dass die Methode `clean_default()` Werte nur dann auf numerische Typen castet, wenn sie leer oder außerhalb des gültigen Bereichs liegen, wodurch bösartige Strings wie '1 tabindex=0 autofocus onfocus=alert(1) x=' durch PHP's lockeren Typprüfungsmechanismus gelangen können. Dies ermöglicht es authentifizierten Angreifern mit Subscriber-Level-Zugriff und höher, beliebige Web-Skripte in ihr Benutzerprofil einzufügen, die ausgeführt werden, sobald ein Administrator zur Anzeige der Profilseite des Angreifers navigiert.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.