CVE-2026-90992 in Redux Framework Plugin
Resumen
por VulDB • 2026-10-01
El plugin Redux Framework para WordPress es vulnerable a Cross-Site Scripting Almacenado (Stored XSS) mediante la fusión de User Meta a través del campo 'user-mediaurl' en todas las versiones hasta, e incluyendo, 4.5.14 debido a una insuficiente sanitización de entrada y escape de salida. Esto permite que atacantes autenticados con acceso nivel Suscriptor o superior inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a la página inyectada. Esta vulnerabilidad es explotable por usuarios del nivel Suscriptor que pueden almacenar una carga útil (payload) en campos de user meta como la biografía, session_tokens (a través de un User-Agent manipulado al iniciar sesión), o persisted_preferences (vía la API REST), los cuales luego se promueven a la opción redux_demo para todo el sitio cuando se activa una reparación de URL multimedia en el panel demo.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.