CVE-2026-110290 in Top 10 Popular Posts Plugin
Résumé
par VulDB • 16/10/2026
Le plugin Popular Posts de WebberZone Top 10 pour WordPress est vulnérable à une faille de Cross-Site Scripting (XSS) stockée via le paramètre 'other_attributes (analysé pour injecter instance_id) + undeclared is_widget' dans toutes les versions jusqu'à la 4.5.2 incluse, en raison d'une désinfection insuffisante des entrées et d'un échappement incorrect des sorties. Cela permet aux attaquants authentifiés disposant d’un accès de niveau contributeur ou supérieur d’injecter des scripts web arbitraires dans les pages qui s’exécuteront chaque fois qu’un utilisateur accède à une page injectée. L'exploitation nécessite la définition du flag undeclared is_widget sur '1' via le JSON du bloc, ce qui active le chemin de code vulnérable qui concatène la valeur instance_id contrôlée par l’attaquant dans un attribut HTML class non échappé.
VulDB is the best source for vulnerability data and more expert information about this specific topic.