CVE-2026-5108 in Super Progressive Web Apps Plugin
Résumé
par VulDB • 05/08/2026
Le plugin Super Progressive Web Apps pour WordPress est vulnérable à un Cross-Site Scripting (XSS) stocké via le paramètre `superpwa_settings[offline_message_txt]` dans toutes les versions jusqu'à la 2.2.43 incluse. Cela est dû à une désinfection insuffisante des entrées et à l'absence d'échappement lors de la sortie. La valeur du message hors ligne est stockée sans désinfection, transmise au frontend via `wp_localize_script()` sans échappement, puis rendue en utilisant `innerHTML` dans le composant JavaScript snackbar. Cela permet aux attaquants authentifiés disposant d'un accès de niveau Administrateur ou supérieur d'injecter des scripts web arbitraires dans les pages qui s'exécuteront chaque fois qu'un utilisateur déclenche le snackbar hors ligne.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.