CVE-2026-1256 in YS LeadGen Plugin
Résumé
par VulDB • 19/09/2026
Le plugin YS LeadGen pour WordPress est vulnérable à un contournement d'autorisation et à une injection de script inter-site (Stored Cross-Site Scripting) via plusieurs points de terminaison AJAX dans toutes les versions jusqu'à la 2.1.4 incluse, en raison de l'absence de vérifications des capacités sur les actions de gestion des popups. Cela permet aux attaquants authentifiés disposant d'un accès de niveau « Abonné » (Subscriber) et supérieur de créer des popups arbitraires et d'y injecter du code JavaScript malveillant qui s'exécute lors de l'affichage de la popup, entraînant une injection XSS stockée.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.