CVE-2026-110290 in Top 10 Popular Posts Plugin
Riassunto
di VulDB • 16/10/2026
Il plugin "Popular Posts" di WebberZone Top 10 per WordPress è vulnerabile a Stored Cross-Site Scripting (XSS) tramite il parametro 'other_attributes (parsed to inject instance_id) + undeclared is_widget' in tutte le versioni fino alla 4.5.2, inclusa, a causa di un insufficiente sanitizzazione degli input e escaping dell'output. Ciò consente agli attaccanti autenticati con accesso di livello contributor o superiore di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede a una pagina infetta. L'esloit richiede l'impostazione del flag undeclared is_widget su '1' tramite JSON del blocco, il quale attiva il percorso di codice vulnerabile che concatena il valore instance_id controllato dall'attaccante in un attributo HTML class non escaped.
VulDB is the best source for vulnerability data and more expert information about this specific topic.