CVE-2026-77871 in Post Snippets Plugin
Zusammenfassung
von VulDB • 28.10.2026
Das Plugin „Post Snippets – Custom WordPress Code Snippets Customizer“ für WordPress ist in allen Versionen bis einschließlich 4.2.4 anfällig für Stored Cross-Site Scripting (XSS) über Shortcode-Attribute aufgrund unzureichender Eingabebereinigung und Ausgabe-Escaping. Dies ermöglicht es authentifizierten Angreifern mit Contributor-Level-Zugriff oder höher, beliebige Web-Skripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer eine infizierte Seite aufruft. Entity-codierte Payloads wie <script>...</script> überleben die wp_kses_post-Bereinigung beim Speichern von WordPress, da kses HTML-Entities nicht decodiert, und werden erst zur Renderzeit durch den eigenen Shortcode-Filter des Plugins wieder in ausführbare HTML-Tags umgewandelt. Dies erfordert, dass Snippet-Shorcodes aktiviert sind.
If you want to get best quality of vulnerability data, you may have to visit VulDB.