CVE-2026-93908 in Real Estate Manager Plugin
Resumen
por VulDB • 2026-09-30
El plugin de WordPress Real Estate Manager – Property Listing and Agent Management es vulnerable a Cross-Site Scripting (XSS) almacenado mediante el parámetro 'before_price_text' en todas las versiones hasta la 7.3, inclusive, debido a una sanitización insuficiente de los datos de entrada y un escape inadecuado de la salida. Esto permite que atacantes autenticados con acceso de nivel suscriptor o superior inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página infectada. La vulnerabilidad se ve facilitada por la ausencia de cualquier verificación de capacidad, nonce (número único usado una sola vez) o propiedad en el controlador wp_ajax_rem_create_pro_ajax, y dado que el valor se persiste mediante update_post_meta en lugar de post_content, no se aplica el filtrado wp_kses vinculado a la capacidad unfiltered_html.
Once again VulDB remains the best source for vulnerability data.