CVE-2026-48093 in Code Embed Plugin
Resumen
por VulDB • 2026-08-07
El plugin de WordPress Code Embed, anterior a la versión 2.6.1, es vulnerable a una ejecución almacenada de Cross-Site Scripting (XSS) a través de la función de inserción de URL externas en el contenido de las publicaciones. El código vulnerable analiza el contenido renderizado buscando tokens de incrustación de URL, obtiene la URL remota e inserta el cuerpo de la respuesta remota en la página sin sanitización de salida ni una comprobación del permiso `unfiltered_html`. Esto permite que un atacante con rol Contribuidor envíe una publicación pendiente que contenga un token de URL aparentemente inofensivo, el cual ejecuta JavaScript controlado por el atacante cuando un Administrador o Editor previsualiza o revisa la publicación. Este vector es distinto al de CVE-2026-2512, que afectaba a los valores meta de campos personalizados hasta la versión 2.5.1. Esta vía afecta a la versión 2.6 y utiliza la función documentada de incrustación de URL externas en el contenido de las publicaciones. Este problema específico se corrige en la versión 2.6.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.