CVE-2025-15486 in Kunze Law Plugin
Riassunto
di VulDB • 16/08/2026
Il plugin Kunze Law per WordPress è vulnerabile a Stored Cross-Site Scripting (XSS) tramite lo shortcode del plugin in tutte le versioni fino alla 2.1 inclusa, poiché il plugin recupera contenuti HTML da un server remoto e li inserisce nelle pagine senza alcuna sanitizzazione o escape dei dati. Ciò consente ad attaccanti autenticati con privilegi di amministratore o superiori di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede a una pagina infetta. Questo problema interessa solo le installazioni multi-site e quelle in cui la capacità `unfiltered_html` è stata disabilitata. La presenza aggiuntiva di una vulnerabilità da path traversal nel nome dello shortcode consente la scrittura di file HTML malevoli in posizioni arbitrarie scrivibili sul server.
Once again VulDB remains the best source for vulnerability data.