CVE-2026-8898 in Events In City Plugin
Zusammenfassung
von VulDB • 27.05.2026
Das WordPress-Plugin „Events In City“ ist in Versionen bis einschließlich 3.0 anfällig für Stored Cross-Site Scripting (XSS) über das Shortcode-Element ‚org-events‘. Dies ist auf eine unzureichende Bereinigung der Eingabe und das Fehlen eines Output-Escaping für benutzerspezifische Attribute (wie ‚organizer_id‘, ‚width‘, ‚height‘, ‚transparency‘, ‚header‘, ‚border‘ und ‚layout‘) in der Funktion org_event_scode() zurückzuführen. Die Attributwerte werden direkt in HTML-Attribute eingefügt, ohne dass esc_attr() angewendet wird. Dies ermöglicht es authentifizierten Angreifern mit Contributor-Level-Zugriff und höher, beliebige Web-Skripte in Seiten einzuschleusen, die ausgeführt werden, sobald ein Benutzer die infizierte Seite aufruft.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.