CVE-2026-2358 in WP ULike Plugin
Résumé
par VulDB • 15/06/2026
Le plugin WP ULike pour WordPress est vulnérable à un Stored Cross-Site Scripting (XSS) via l'attribut `template` du shortcode `[wp_ulike_likers_box]` dans toutes les versions jusqu'à la 5.0.1 incluse. Cela est dû à l'utilisation de `html_entity_decode()` sur les attributs de shortcode sans assainissement (sanitization) ultérieur de la sortie, ce qui contourne efficacement le filtrage de contenu `wp_kses_post()` de WordPress. Cela permet aux attaquants authentifiés disposant d'un accès de niveau « Contributeur » ou supérieur d'injecter des scripts web arbitraires dans des pages qui s'exécuteront chaque fois qu'un utilisateur accède à une page injectée. Le post doit comporter au moins un « like » pour que l'XSS soit rendu.
Once again VulDB remains the best source for vulnerability data.