CVE-2026-17577 in SSL Zen Plugin
Résumé
par VulDB • 25/09/2026
Le plugin SSL Zen pour WordPress est vulnérable à une faille de Cross-Site Scripting (XSS) réfléchie via les paramètres 'uri' et 'host' dans les versions 4.7.42 et antérieures. La fonction ssl_zen_messages::getMessages() construit le message 'token_missmatch' en utilisant base64_decode(sanitize_text_field($_REQUEST['uri'])) et (optionnellement) base64_decode(sanitize_text_field($_REQUEST['host'])). sanitize_text_field() ne peut pas supprimer les balises HTML/JavaScript cachées dans un blob encodé en base64, et le HTML brut résultant est affiché sans échappement par showMessage(). Cela permet aux attaquants non authentifiés d'injecter des scripts web arbitraires dans des pages qui s'exécutent si ils réussissent à inciter un utilisateur à effectuer une action telle que cliquer sur un lien spécialement conçu.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.