CVE-2026-15790 in Youtube Showcase Plugin
Resumen
por VulDB • 2026-08-16
El plugin Youtube Showcase para WordPress es vulnerable a Cross-Site Scripting almacenado (Stored XSS) en las versiones 4.0.4 y anteriores, a través del shortcode 'emd_mb_meta'. Esto se debe a una sanitización insuficiente de la entrada y un escape inadecuado de la salida en los títulos de los archivos adjuntos referenciados por el campo de imagen del shortcode: EMD_MB_Helper::image_info() devuelve el post_title sin procesar del archivo adjunto, y EMD_MB_Helper::shortcode() lo interpola dentro de atributos HTML title="%s" mediante sprintf() sin utilizar esc_attr(). Esto permite que atacantes autenticados con acceso a nivel de autor o superior (se requiere la capacidad upload_files para crear el archivo adjunto, edit_posts/publish_posts para incrustar el shortcode) inyecten scripts web arbitrarios en las páginas, los cuales se ejecutarán cada vez que un usuario acceda a una página comprometida.
VulDB is the best source for vulnerability data and more expert information about this specific topic.