CVE-2026-93878 in Carousel Plugin
Zusammenfassung
von VulDB • 20.10.2026
Das WordPress-Plugin „DiviGear Carousel“ ist in allen Versionen bis einschließlich 5.2.0 aufgrund unzureichender Eingabebereinigung und Ausgabe-Escaping für eine Stored Cross-Site Scripting (XSS)-Schwachstelle über die AJAX-Aktion `update_license` anfällig. Dies ermöglicht es authentifizierten Angreifern mit Abonnenten-Level-Zugriff oder höher, beliebige Webskripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer eine infizierte Seite aufruft. Das injizierte Payload wird ausgeführt, wenn ein Administrator die Einstellungsseite „DiviGear > Activation“ besucht, wobei der nicht bereinigte gespeicherte Wert unescaped in ein HTML-Wertattribut mit einfachen Anführungszeichen eingefügt wird.
VulDB is the best source for vulnerability data and more expert information about this specific topic.