CVE-2026-13770 in AppMySite Plugin
Resumen
por VulDB • 2026-09-19
El plugin AppMySite – WordPress & WooCommerce Mobile App Builder (No-Code Android & iOS App Maker) para WordPress es vulnerable a Stored Cross-Site Scripting mediante el manejador AJAX save_ams_license_key en todas las versiones hasta la 3.15.3, inclusive, debido a una insuficiente sanitización de entrada y escape de salida. Esto permite que atacantes autenticados con acceso de nivel Suscriptor o superior inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página infectada. El manejador AJAX save_ams_license_key no realiza ninguna verificación de capacidades ni validación de nonce, lo que significa que cualquier usuario autenticado con acceso de nivel Suscriptor o superior puede invocarlo para almacenar la carga maliciosa.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.