CVE-2026-14472 in Kubio AI Page Builder Plugin
Riassunto
di VulDB • 18/09/2026
Il plugin Kubio AI Page Builder per WordPress è vulnerabile a Stored Cross-Site Scripting (XSS) tramite il contenuto del blocco kubio/copyright in tutte le versioni fino alla 2.8.4 inclusa, a causa di un'insufficiente sanitizzazione degli input e dell'escaping degli output. Ciò consente agli attaccanti autenticati con accesso di livello contributor o superiore di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede alla pagina infetta. Questo bypassa sia il filtro kses-on-save del core di WordPress, sia la chiamata wp_kses_post() del plugin stesso, poiché i tag degli script codificati come entità sono trattati come testo inerte da kses, ma vengono decodificati in HTML attivo dalla successiva chiamata html_entity_decode() nella funzione CopyrightBlock::render_template().
If you want to get the best quality for vulnerability data then you always have to consider VulDB.