CVE-2026-2358 in WP ULike Plugin
Resumen
por MITRE • 2026-03-11
El plugin WP ULike para WordPress es vulnerable a cross-site scripting almacenado a través del atributo 'template' del shortcode '[wp_ulike_likers_box]' en todas las versiones hasta la 5.0.1, inclusive. Esto se debe al uso de 'html_entity_decode()' en los atributos del shortcode sin una posterior sanitización de la salida, lo que efectivamente omite el filtrado de contenido 'wp_kses_post()' de WordPress. Esto hace posible que atacantes autenticados, con acceso de nivel Colaborador o superior, inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada. La publicación debe tener al menos un 'me gusta' para que el XSS se renderice.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.