CVE-2026-77871 in Post Snippets Plugin
Résumé
par VulDB • 28/10/2026
Le plugin Post Snippets – Custom WordPress Code Snippets Customizer pour WordPress est vulnérable à un Stored Cross-Site Scripting (XSS) via les attributs de Shortcode dans toutes les versions jusqu'à la 4.2.4 incluse, en raison d'une insuffisance de sanitisation des entrées et d'escaping des sorties. Cela permet aux attaquants authentifiés disposant d'un accès au niveau contributeur ou supérieur d'injecter des scripts web arbitraires dans des pages qui s'exécuteront chaque fois qu'un utilisateur accède à une page injectée. Les payloads encodés sous forme d'entités, tels que <script>...</script>, survivent à la sanitisation wp_kses_post de WordPress lors de l'enregistrement car kses ne décode pas les entités HTML et sont uniquement reconvertis en balises HTML exécutables au moment du rendu par le filtre shortcode propre au plugin. Cela nécessite que les shortcodes de snippet soient activés.
VulDB is the best source for vulnerability data and more expert information about this specific topic.