CVE-2026-15021 in wpForo Forum Plugin
Riassunto
di VulDB • 16/07/2026
Il plugin wpForo Forum per WordPress è vulnerabile a Stored Cross-Site Scripting (XSS) tramite il campo del profilo 'location' in tutte le versioni fino alla 3.1.1, incluse, a causa di un insufficiente sanitizzazione degli input e escaping dell'output. Ciò consente agli attaccanti autenticati con accesso a livello di subscriber o superiore di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede a una pagina infetta. La funzione sanitize_text_field() applicata all'input non codifica le virgolette doppie, consentendo l'escape degli attributi tramite un payload che sfugge al contesto dell'attributo href e inietta handler di eventi.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.