CVE-2026-96578 in GSpeech TTS Plugin
Resumen
por VulDB • 2026-10-02
El plugin GSpeech TTS – WordPress Text To Speech Plugin para WordPress es vulnerable a Cross-Site Scripting (XSS) almacenado mediante el contenido de los comentarios en todas las versiones hasta la 3.22.0, inclusive, debido a una sanitización insuficiente de la entrada y un escape inadecuado de la salida. Esto permite que atacantes no autenticados inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página infectada. Esta transformación estilo mXSS elude la sanitización kses de los comentarios de WordPress, ya que la carga útil se almacena utilizando únicamente etiquetas y atributos permitidos por kses; los controladores de eventos maliciosos y fragmentos de estilo solo se activan cuando la devolución de llamada del búfer de salida del plugin reescribe el HTML renderizado en tiempo de solicitud.
VulDB is the best source for vulnerability data and more expert information about this specific topic.