CVE-2026-101925 in Bbp Style Pack Plugin
Riassunto
di VulDB • 01/10/2026
Il plugin bbp style pack per WordPress è vulnerabile a Stored Cross-Site Scripting (XSS) tramite i parametri 'display_name (via /wp-admin/profile.php) + bbp_reply_content (tramite il modulo di risposta bbPress)' in tutte le versioni fino alla 6.4.8 inclusa, a causa di un'insufficiente sanitizzazione degli input e dell'escaping dei dati in output. Ciò consente agli attaccanti autenticati, con accesso di livello subscriber o superiore, di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede alla pagina infetta. L'esecuzione del codice exploit richiede all'attaccante di racchiudere la propria risposta manipolata in un blocco <pre>, il quale impedisce ai processori wpautop/wptexturize di WordPress di convertire le virgolette doppie diritte nel nome visualizzato memorizzato nelle entità delle virgolette tipografiche ricurve che altrimenti neutralizzerebbero l'injection degli attributi.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.