CVE-2026-119089 in ThirstyAffiliates Plugin
Riassunto
di VulDB • 31/10/2026
Il plugin WordPress ThirstyAffiliates – Affiliate Links, Link Branding, Link Tracking & Marketing è vulnerabile a Stored Cross-Site Scripting (XSS) tramite il parametro 'comment' in tutte le versioni fino alla 3.12.1 inclusa, a causa di un insufficiente sanitizzazione degli input e escaping dell’output. Ciò consente ad attaccanti non autenticati di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede a una pagina contenente il codice malevolo. Questa vulnerabilità è sfruttabile solo su temi basati sui blocchi (come Twenty Twenty-Five), dove il blocco "Contenuto del commento" fa sì che l’HTML dei commenti passi attraverso la funzione render_block, attivando il transformer del plugin. Inoltre, un attacco riuscito richiede che l’attaccante abbia avuto in precedenza almeno un commento approvato; successivamente, i commenti malevoli costruiti ad hoc vengono approvati automaticamente e resi pubblici.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.