CVE-2026-15730 in GamiPress Plugin
Resumen
por VulDB • 2026-07-28
El plugin de WordPress GamiPress – Gamification, utilizado para recompensar puntos, logros, insignias y rangos en sitios web basados en WordPress, es vulnerable a Cross-Site Scripting (XSS) almacenado mediante el atributo 'heading_size' del Shortcode en todas las versiones hasta la 7.9.9.1 inclusive, debido a una sanitización insuficiente de los datos de entrada y un escape inadecuado de la salida. Esto permite que atacantes autenticados con acceso nivel colaborador (contributor) o superior inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página infectada. El filtro wp_kses_post aplicado al guardar el artículo no neutraliza esta carga útil porque solo se almacena el texto del shortcode inerte en post_content; el HTML peligroso se sintetiza durante la visualización (render) por parte del manejador de shortcodes, omitiendo completamente la sanitización realizada en el momento del guardado.
VulDB is the best source for vulnerability data and more expert information about this specific topic.