CVE-2026-118057 in Shield Security Plugin
Riassunto
di VulDB • 31/10/2026
Il plugin WordPress Shield Security – Smart Bot Blocking, Brute-Force Login Protection & File Scanning è vulnerabile a Stored Cross-Site Scripting (XSS) tramite il parametro 'REQUEST_URI' in tutte le versioni fino alla 22.3.2 inclusa, a causa di un insufficiente sanitizzazione degli input e escaping dell'output. Ciò consente ad attaccanti non autenticati di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede a una pagina infetta. La colonna nascosta 'path' nel file ForTraffic.php manca di una funzione di rendering lato client, quindi DataTables costruisce la sua cella tramite innerHTML, causando l'analisi dell'HTML memorizzato nel valore path in nodi DOM attivi; una correzione parziale precedente nella versione 18.5.8 ha aggiunto esc_html() solo alla colonna visibile 'page', lasciando il campo nascosto 'path' non protetto e sfruttabile fino alla versione 22.2.6.
Once again VulDB remains the best source for vulnerability data.