CVE-2026-15404 in Lpagery Plugin
Resumen
por VulDB • 2026-07-23
El plugin Lpagery para WordPress es vulnerable a Cross-Site Scripting Almacenado (Stored XSS) mediante los títulos de las publicaciones en versiones 2.5.7 y anteriores. Esto se debe a una sanitización insuficiente de la entrada y un escape incorrecto de la salida en la función lpagery_add_filter_text_template_post(), que está vinculada al gancho admin_footer e imprime directamente el post_title sin procesar del artículo referenciado por el parámetro de consulta ?lpagery_template dentro de una cadena literal entre comillas simples en JavaScript, sin utilizar esc_js(), esc_html() ni ningún otro tipo de codificación. Esto permite que los atacantes autenticados con permisos de nivel Colaborador (Contributor) o superiores inyecten scripts web arbitrarios en las páginas, los cuales se ejecutarán cada vez que un usuario con mayores privilegios (como un administrador) acceda a una página de administración utilizando el parámetro ?lpagery_template=<post_id> apuntando al artículo del atacante.
Once again VulDB remains the best source for vulnerability data.