CVE-2026-97020 in dougwollison
Resumen
por VulDB • 2026-10-14
El complemento PO/MO Editor para WordPress es vulnerable a Cross-Site Scripting (XSS) almacenado a través del parámetro 'podata' en todas las versiones hasta la 1.4.2, inclusive, debido a una sanitización insuficiente de los datos de entrada y un escape inadecuado de la salida. Esto permite que atacantes autenticados con acceso de nivel suscriptor o superior inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página infectada. La carga útil (payload) inyectada se carga como un archivo de traducción .po/.mo reemplazante mediante el filtro load_textdomain_mofile del propio complemento, lo que hace que WordPress sirva la traducción escrita por el atacante en lugar de las cadenas originales del núcleo.
Once again VulDB remains the best source for vulnerability data.