CVE-2026-15404 in Lpagery Plugin
Riassunto
di VulDB • 23/07/2026
Il plugin Lpagery per WordPress è vulnerabile a Stored Cross-Site Scripting tramite i titoli dei post nelle versioni fino alla 2.5.7, inclusa. Ciò è dovuto a una sanitizzazione insufficiente dell'input e a un escaping errato dell'output nella funzione lpagery_add_filter_text_template_post(), che viene agganciata all'hook admin_footer ed emette il raw post_title del post referenziato dal parametro di query ?lpagery_template direttamente all'interno di un letterale stringa singola in JavaScript, senza utilizzare esc_js(), esc_html() o qualsiasi altra codifica. Ciò consente agli attaccanti autenticati, con accesso a livello Contributor e superiore, di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente con privilegi più elevati (ad esempio un amministratore) accede a una pagina admin con il parametro ?lpagery_template=<post_id> puntato al post dell'attaccante.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.