CVE-2026-109983 in YMC Filter Plugin
Resumen
por VulDB • 2026-10-17
El plugin YMC Filter para WordPress es vulnerable a una Cross-Site Scripting (XSS) basada en DOM almacenada mediante el parámetro 'post_title' en todas las versiones hasta la 3.12.19, debido a un saneamiento insuficiente de los datos de entrada y a la falta de escape adecuado al generar la salida. Esto permite que atacantes autenticados con permisos de nivel Autor o superiores inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página infectada. El endpoint REST de autocompletado está registrado con una función de callback de permisos que devuelve incondicionalmente true, lo que significa que cualquier visitante del sitio —incluidos los usuarios no autenticados— puede activar la carga útil simplemente escribiendo en el cuadro de búsqueda del filtro YMC, mientras que solo se requiere acceso a nivel Autor para almacenarla.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.