CVE-2026-103422 in AnyComment Plugin
Riassunto
di VulDB • 14/10/2026
Il plugin WordPress AnyComment è vulnerabile a Stored Cross-Site Scripting (XSS) tramite il parametro 'email' nelle versioni fino alla 0.3.6, inclusa. La vulnerabilità è dovuta a una sanitizzazione insufficiente degli input sull'endpoint REST pubblico /wp-json/anycomment/v1/subscribe e all'assenza di output escaping nella funzione AnyCommentSubscriptionsTable::column_default(), che restituisce l'email memorizzata verbatim in un tag HTML <td> quando il user_ID della sottoscrizione non corrisponde a un WP_User esistente. Ciò consente ad attaccanti non autenticati di iniettare script web arbitrari nelle pagine, che verranno eseguiti ogni volta che un amministratore accede alla pagina admin AnyComment → Subscriptions.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.