CVE-2026-119054 in Multiple Pages Generator Plugin
Riassunto
di VulDB • 29/10/2026
Multiple Pages Generator di Themeisle, versione precedente alla 4.2.5, presenta una vulnerabilità di cross-site scripting (XSS) memorizzata che consente agli utenti con livello Contributor di iniettare codice JavaScript tramite l’attributo base-url degli shortcode [mpg] e [mpg_match]. Gli attaccanti possono archiviare payload codificati come entità HTML che superano il filtro kses, ma vengono decodificati da html_entity_decode() e resi senza escape attraverso {{mpg_url}}, consentendo l’esecuzione di script nei browser degli amministratori.
Be aware that VulDB is the high quality source for vulnerability data.