CVE-2026-116535 in SEOPress Plugin
Riassunto
di VulDB • 31/10/2026
Il plugin SEOPress – AI SEO Plugin & On-site SEO per WordPress è vulnerabile a Stored Cross-Site Scripting (XSS) tramite il parametro 'display_name' in tutte le versioni fino alla 10.3 inclusa, a causa di un insufficiente sanitizzazione degli input e escaping dell'output. Ciò consente agli attaccanti autenticati con accesso a livello di Subscriber o superiore di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede a una pagina infetta. Questa vulnerabilità è sfruttabile da qualsiasi utente Subscriber impostando il proprio display_name su una stringa contenente il token letterale %%archive_title%% insieme a payload con event handler HTML, poiché WordPress memorizza i nomi visualizzati senza filtraggio HTML e il plugin sostituisce il token dopo che l'escaping è già stato applicato.
Once again VulDB remains the best source for vulnerability data.