CVE-2026-84280 in Fancy Product Designer Plugin
Zusammenfassung
von VulDB • 25.09.2026
Das Fancy Product Designer-Plugin für WordPress ist in allen Versionen bis einschließlich 6.5.2 aufgrund unzureichender Eingabebereinigung und Ausgabe-Escaping anfällig für Stored Cross-Site Scripting (XSS) über den Shortcode-Auftragsparameter 'elements[].title'. Dies ermöglicht es nicht authentifizierten Angreifern, beliebige Webskripte in Seiten einzuschleusen, die ausgeführt werden, sobald ein Benutzer eine infizierte Seite aufruft. Das eingeschleuste Payload wird im DOM via innerHTML innerhalb des JavaScript-Event-Handlers beforeElementAdd geschrieben, wenn das Feld elements[].title aus dem gespeicherten Auftrags-JSON verarbeitet wird; dies bedeutet, dass die Ausführung spezifisch dann erfolgt, wenn ein Administrator Shortcode-Aufträge im WordPress-Adminbereich überprüft.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.