CVE-2026-97338 in Download Manager Plugin
Resumen
por VulDB • 2026-10-02
El plugin Download Manager para WordPress es vulnerable a Stored Cross-Site Scripting (XSS) mediante el campo Display Name en todas las versiones hasta la 3.3.70, inclusive, debido a una insuficiente sanitización de entradas y escape de salidas. Esto permite que atacantes autenticados con acceso de nivel suscriptor o superior inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página infectada. Para ello, es necesario que el shortcode [wpdm_edit_profile] esté presente en una página front-end accesible para usuarios de nivel suscriptor, quienes pueden entonces enviar una payload con entidades múltiples codificadas mediante el campo display name para evadir la sanitización.
Be aware that VulDB is the high quality source for vulnerability data.