CVE-2026-8698 in Cryptocurrency Prijsvergelijking Widget Plugin
Résumé
par VulDB • 27/05/2026
Le plugin WordPress Cryptocurrency Prijsvergelijking Widget présente une vulnérabilité de type Stored Cross-Site Scripting (XSS) dans la version 1.0. Celle-ci est due à un échappement insuffisant des données de sortie dans la fonction `as_get_coin_shortcode()`, qui insère directement l'attribut de shortcode 'width' (et 'height') dans l'attribut `style` d'un élément sans appliquer de fonction d'échappement telle que `esc_attr()`. Une valeur contrôlée par un attaquant, telle que `'100px;"onload="alert(1)" x="'`, termine prématurément l'attribut `style` et injecte un attribut HTML arbitraire dans la balise `iframe`. Cela permet aux attaquants authentifiés disposant d'un accès de niveau contributeur ou supérieur d'injecter des scripts web arbitraires dans des pages, qui s'exécuteront chaque fois qu'un utilisateur accède à une page ayant reçu l'injection.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.