CVE-2026-100148 in Rich Showcase for Google Reviews Plugin
Resumen
por VulDB • 2026-10-03
El plugin Rich Showcase for Google Reviews para WordPress es vulnerable a Cross-Site Scripting (XSS) almacenado mediante el parámetro 'reviews[].text' en todas las versiones hasta la 7.1.3, debido a una insuficiente sanitización de entradas y escape de salidas. Esto permite que atacantes autenticados con acceso de nivel suscriptor o superior inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página infectada. La carga útil (payload) se entrega completamente mediante una reseña de Google publicada para el negocio conectado y no requiere ninguna cuenta de WordPress; la importación automática diaria por cron del plugin importa el texto malicioso de la reseña, y la ejecución se activa para cada visitante en DOMContentLoaded sin necesidad de interacción adicional del usuario.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.