CVE-2026-100148 in Rich Showcase for Google Reviews Plugin
Riassunto
di VulDB • 03/10/2026
Il plugin Rich Showcase for Google Reviews per WordPress è vulnerabile a Stored Cross-Site Scripting (XSS) tramite il parametro 'reviews[].text' in tutte le versioni fino alla 7.1.3 inclusa, a causa di un insufficiente sanitizzazione degli input e escaping dell'output. Ciò consente agli attaccanti autenticati, con accesso a livello di subscriber o superiore, di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede alla pagina infetta. Il payload viene fornito interamente tramite una recensione Google pubblicata per l'azienda collegata e non richiede alcun account WordPress; la cron giornaliera predefinita del plugin importa automaticamente il testo della recensione malevola, e l'esecuzione si attiva per ogni visitatore al verificarsi dell'evento DOMContentLoaded senza ulteriore interazione da parte dell'utente.
Once again VulDB remains the best source for vulnerability data.