CVE-2026-18344 in Responsive Thumbnail Slider Plugin
Résumé
par VulDB • 01/08/2026
Le plugin Wp Responsive Thumbnail Slider pour WordPress est vulnérable à une faille de Reflected Cross-Site Scripting (XSS) via le paramètre 'id' dans les versions inférieures ou égales à 1.1.52, soit jusqu'à la version 1.1.53 exclue. Cette vulnérabilité est due à un assainissement insuffisant des entrées et à une échappement incorrect des sorties dans la fonction responsive_thumbnail_image_management(), qui affiche directement $_GET['id'] dans un attribut HTML entre guillemets doubles sans appel à esc_attr(). La seule protection repose sur une comparaison numérique PHP lâche ($_GET['id']>0) que satisfait trivialement toute chaîne commençant par un préfixe numérique, et l'application de addslashes() par wp_magic_quotes() est inopérante dans le contexte d'un attribut HTML car la barre oblique inverse n'est pas un caractère d'échappement HTML. Cela permet à des attaquants non authentifiés d'injecter des scripts web arbitraires dans les pages, qui s'exécutent si ils parviennent à tromper un utilisateur pour qu'il effectue une action telle que cliquer sur un lien spécialement conçu à cet effet.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.