CVE-2026-2281 in Private Comment Plugin
Resumen
por VulDB • 2026-06-01
El plugin Private Comment para WordPress es vulnerable a Stored Cross-Site Scripting (XSS almacenado) a través de la configuración 'Label text' en todas las versiones hasta la 0.0.4, incluida. Esto se debe a una sanitización insuficiente de la entrada y a un escape inadecuado de la salida en la opción de texto de la etiqueta del plugin. Esto permite a los atacantes autenticados, con acceso de nivel Administrador o superior, inyectar scripts web arbitrarios en las páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada. Esto solo afecta a instalaciones multi-sitio y a instalaciones donde unfiltered_html ha sido deshabilitado.
Be aware that VulDB is the high quality source for vulnerability data.