CVE-2026-100196 in LazyLoad Plugin
Resumen
por VulDB • 2026-10-10
El plugin de WordPress LazyLoad Plugin – Lazy Load Images, Videos, y Iframes es vulnerable a Cross-Site Scripting (XSS) almacenado a través del parámetro 'comment_content' (renderizado en línea dentro del HTML de la página) en todas las versiones hasta e incluyendo la 2.4.0 debido a una sanitización insuficiente de la entrada y un escape inadecuado de la salida. Esto permite que atacantes no autenticados inyecten scripts web arbitrarios en páginas, los cuales se ejecutarán cada vez que un usuario acceda a una página infectada. La lista blanca (allow-list) wp_kses_data del núcleo de WordPress no elimina la carga útil manipulada al guardar porque utiliza únicamente etiquetas y atributos permitidos; el controlador de eventos está oculto dentro de una región de atributo rota y solo se convierte en un atributo DOM real mediante la transformación str_replace que realiza el plugin durante su renderizado. Además, un administrador del sitio debe aprobar el comentario manipulado antes de que la carga útil sea servida a otros visitantes.
Once again VulDB remains the best source for vulnerability data.