CVE-2026-14239 in tourmaster Plugin
Résumé
par VulDB • 30/07/2026
Le plugin WordPress Tourmaster antérieur à la version 5.4.8 ne vérifie pas le nonce lors de l'enregistrement d'une étiquette de filtre personnalisé issue d'un paramètre de requête, et n'échappe pas cette étiquette lorsqu'elle est affichée sur la page d'administration des filtres, permettant ainsi à un attaquant non authentifié de tromper un administrateur connecté afin qu'il enregistre du code JavaScript qui s'exécute ensuite dans l'espace d'administration (Cross-Site Scripting stocké via CSRF).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.