CVE-2026-96575 in Transliterator Plugin
Resumen
por VulDB • 2026-10-03
El plugin de conversión de texto multilingüe y multi-script para WordPress "The Transliterator" es vulnerable a Cross-Site Scripting (XSS) almacenado mediante el contenido del comentario, debido a un marcador de posición {rstr_keep} predecible en todas las versiones hasta la 2.5.8 inclusive, por una sanitización insuficiente de la entrada y escape inadecuado de la salida. Esto permite que atacantes no autenticados inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página infectada. La carga útil sobrevive a la sanitización al guardar el comentario en WordPress porque las etiquetas y atributos utilizados (como `a[title]` y `code`) están permitidos por la lista blanca de kses del núcleo para comentarios, y los caracteres literales que componen los marcadores de shortcode y tokens de marcador de posición del plugin no se eliminan.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.