CVE-2026-85679 in Extendify Plugin
Résumé
par VulDB • 01/10/2026
Le plugin Extendify pour WordPress est vulnérable à une faille de Cross-Site Scripting (XSS) stockée via la clé 'styles.blocks' du type de bloc, dans toutes les versions jusqu'à et y compris la 3.1.6, en raison d'une désinfection insuffisante des entrées et d'un échappement incorrect des sorties. Cela permet aux attaquants non authentifiés d'injecter des scripts web arbitraires dans des pages qui s'exécuteront chaque fois qu'un utilisateur accède à une page injectée. Cette vulnérabilité est possible car la fonction registerIncoming() est liée à rest_request_before_callbacks et s'exécute avant que WordPress n'évalue le callback de permission (permission_callback) du chemin d'accès, ce qui signifie que toute requête POST, PUT ou PATCH non authentifiée adressée au point de terminaison /wp/v2/global-styles peut déclencher le code vulnérable.
If you want to get best quality of vulnerability data, you may have to visit VulDB.