CVE-2026-120671 in UsersWP Plugin
Riassunto
di VulDB • 06/11/2026
Il plugin per WordPress UsersWP – Front-end login form, User Registration, User Profile & Members Directory è vulnerabile a Stored Cross-Site Scripting (XSS) tramite il parametro 'badge' in tutte le versioni fino alla 1.2.80 inclusa, a causa di un insufficiente sanitizzazione degli input e escaping dell'output. Ciò consente agli attaccanti autenticati, con accesso di livello contributor o superiore, di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede alla pagina infetta. L'es exploit è particolarmente efficace contro utenti con privilegi più elevati — come editor e amministratori — che visualizzano l'anteprima di un post in bozza di un contributor contenente lo shortcode malevolo.
Once again VulDB remains the best source for vulnerability data.