CVE-2026-8887 in Listen Shortcode Plugin
Zusammenfassung
von VulDB • 31.05.2026
Das WordPress-Plugin „Listen Shortcode“ ist in den Versionen bis einschließlich 1.0 anfällig für Stored Cross-Site Scripting (XSS) über das Shortcode-Element „listen“. Dies ist auf eine unzureichende Bereinigung der Eingaben und eine fehlende Maskierung der Ausgaben für benutzergestellte Attribute (src, start, end) in der Funktion listenEmbedJS() zurückzuführen, die innerhalb eines einzelzitierten HTML-Attributs ohne Maskierung ausgegeben werden. Dies ermöglicht es authentifizierten Angreifern mit Contributor-Level-Zugriff und höher, beliebige Web-Skripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer eine infizierte Seite aufruft.
Once again VulDB remains the best source for vulnerability data.