CVE-2026-83591 in AMP for WP Plugin
Zusammenfassung
von VulDB • 25.09.2026
Das Plugin „AMP for WP – Accelerated Mobile Pages“ für WordPress ist in allen Versionen bis einschließlich 1.1.16 anfällig für Stored Cross-Site Scripting (XSS) über den Kommentarinhalt durch Regex-Transformation aufgrund unzureichender Eingabebereinigung und Ausgabe-Escaping. Dies ermöglicht es nicht authentifizierten Angreifern, beliebige Webskripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer eine infizierte Seite aufruft. Das manipulierte Payload verwendet nur von WordPress erlaubte Kommentar-Tags und -Attribute (ein Anchor-Tag mit href und title), und der AMP-Sanitizer-Pipeline fehlt das Blockieren des javascript:-Protokolls, sodass weder der Filter zum Speichern von Kommentaren noch die AMP-Ausgabestufe den durch die Transformation eingeführten bösartigen URI entfernt.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.