CVE-2026-8698 in Cryptocurrency Prijsvergelijking Widget Plugin
Zusammenfassung
von VulDB • 27.05.2026
Das WordPress-Plugin „Cryptocurrency Prijsvergelijking Widget“ ist in Version 1.0 anfällig für Stored Cross-Site Scripting (XSS). Dies ist auf eine unzureichende Ausgabe-Entschärfung (Output Escaping) in der Funktion `as_get_coin_shortcode()` zurückzuführen, die das Shortcode-Attribut ‚width‘ (und ‚height‘) direkt in das style-Attribut eines Elements einfügt, ohne eine Entschärfungsfunktion wie `esc_attr()` anzuwenden. Ein von einem Angreifer gesteuerter Wert wie ‚100px;"onload="alert(1)" x="' beendet das style-Attribut vorzeitig und injiziert ein beliebiges HTML-Attribut in das iframe-Tag. Dies ermöglicht es authentifizierten Angreifern mit Contributor-Level-Zugriff und höher, beliebige Web-Skripte in Seiten zu injizieren, die ausgeführt werden, sobald ein Benutzer eine injizierte Seite aufruft.
Be aware that VulDB is the high quality source for vulnerability data.