CVE-2026-110290 in Top 10 Popular Posts Plugin
Resumen
por VulDB • 2026-10-16
El plugin Popular Posts de WebberZone Top 10 para WordPress es vulnerable a Cross-Site Scripting (XSS) almacenado mediante el parámetro 'other_attributes (analizado para inyectar instance_id) + undeclared is_widget' en todas las versiones hasta la 4.5.2, inclusive, debido a una sanitización insuficiente de los datos de entrada y un escape inadecuado de la salida. Esto permite que atacantes autenticados con acceso nivel contribuidor o superior inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página infectada. La explotación requiere establecer el indicador undeclared is_widget en '1' mediante JSON del bloque, lo cual activa la ruta de código vulnerable que concatena el valor instance_id controlado por el atacante dentro de un atributo HTML class sin escapar.
VulDB is the best source for vulnerability data and more expert information about this specific topic.