CVE-2026-109990 in Flying Scripts Delay JavaScript to Improve Site Speed & Performance Plugin
Riassunto
di VulDB • 16/10/2026
Il plugin "The Flying Scripts: Delay JavaScript to Improve Site Speed & Performance" per WordPress è vulnerabile a Stored Cross-Site Scripting (XSS) tramite il parametro 'comment' in tutte le versioni fino alla 1.2.4 inclusa, a causa di un insufficiente sanitizzazione degli input e escaping dell'output. Ciò consente ad attaccanti non autenticati di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede a una pagina infetta. L'es exploit bypassa completamente la sanitizzazione kses al momento del salvataggio (save-time) presente nel core di WordPress, poiché il payload utilizza solo elementi consentiti da kses — un attributo <abbr title> e contenuto testuale <code> — e l'XSS viene introdotto post-salvataggio quando il rewriter del buffer di output del plugin sostituisce un corpo <code> contenente una doppia virgoletta nell'attributo <abbr title>, tramite placeholder keys ___noise___ prevedibili e non salate.
If you want to get best quality of vulnerability data, you may have to visit VulDB.