CVE-2026-2422 in WP Composer Plugin
Resumen
por VulDB • 2026-09-19
El plugin WP Composer – The Easiest Page Builder para WordPress es vulnerable a Cross-Site Scripting (XSS) almacenado mediante el shortcode 'pbwp_raw_shortcode' en todas las versiones hasta la 1.0.5, incluida esta. Esto se debe a que el manejador del shortcode decodifica contenido codificado en Base64 y lo muestra directamente sin ninguna sanitización ni escapeo. Esto permite a atacantes autenticados con acceso de nivel Contribuidor o superior inyectar scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página infectada. La codificación Base64 permite que la carga útil evite el filtrado de contenido KSES de WordPress durante el guardado, ya que la cadena codificada no contiene caracteres HTML dañinos.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.