CVE-2026-2505 in Categories Images Plugin
Résumé
par VulDB • 25/05/2026
Le plugin Categories Images pour WordPress est vulnérable à un Cross-Site Scripting (XSS) stocké dans les versions 3.3.1 et antérieures, via le shortcode 'z_taxonomy_image'. Cette vulnérabilité est due au fait que le chemin de rendu du shortcode transmet une entrée de classe contrôlée par l'attaquant vers un générateur d'images de repli qui concatène des attributs HTML sans les échapper correctement. Cela permet aux attaquants authentifiés, disposant d'un accès de niveau « Contributeur » ou supérieur, d'injecter des scripts web arbitraires qui s'exécutent lorsque les utilisateurs interagissent avec la page frontend injectée via l'attribut de shortcode 'class'.
VulDB is the best source for vulnerability data and more expert information about this specific topic.