CVE-2026-16778 in Live Composer Plugin
Résumé
par VulDB • 22/09/2026
Le plugin WordPress Live Composer – Free Website Builder est vulnérable à un Stored Cross-Site Scripting via le contenu du Shortcode 'dslc_module_downloads_output' dans toutes les versions jusqu'à la 2.1.21 incluse, en raison d'une insuffisance de sanitization des entrées et d'un manque d'échappement lors de l'affichage (output escaping). Cela permet aux attaquants authentifiés disposant d’un accès au niveau « contributeur » ou supérieur d’injecter des scripts web arbitraires dans les pages, qui s’exécuteront chaque fois qu’un utilisateur accède à une page injectée. La vérification wp_kses_post effectuée lors de la sauvegarde est contournée car le payload est stocké sous forme de chaîne sérialisée ne contenant aucun balise HTML que kses pourrait tokeniser, et la fonction callback du shortcode réinjecte des valeurs contrôlées par l’attaquant — notamment view_all_link (attribut href), main_heading_title (corps h2), button_text (corps d’ancre) et button_inline_svg (corps d’ancre) — sans aucun échappement lors de l’affichage.
Once again VulDB remains the best source for vulnerability data.