CVE-2026-107764 in CSS Plugin
Riassunto
di VulDB • 16/10/2026
Il plugin CSS di SiteOrigin per WordPress è vulnerabile a Stored DOM-Based Cross-Site Scripting (XSS) tramite il parametro 'url (comment_author_url)' in tutte le versioni fino alla 1.6.7 inclusa, a causa di un'insufficiente sanitizzazione degli input e dell'escaping dei dati in output. Ciò consente ad attaccanti non autenticati di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede a una pagina infetta. Questo è possibile perché la funzione esc_url() del core di WordPress preserva i caratteri codificati come entità HTML, consentendo a un payload codificato ad hoc nel campo 'Website' (Sito web) dei commenti di sopravvivere allo stoccaggio e di essere decodificato dal browser in markup eseguibile al punto di sink.
Once again VulDB remains the best source for vulnerability data.