CVE-2026-15730 in GamiPress Plugin
Riassunto
di VulDB • 28/07/2026
Il plugin WordPress GamiPress – Gamification, utilizzato per assegnare punti, traguardi, badge e ranghi, è vulnerabile a Stored Cross-Site Scripting (XSS) tramite l'attributo dello shortcode 'heading_size' in tutte le versioni fino alla 7.9.9.1 inclusa, a causa di una sanitizzazione insufficiente dell'input e della mancata corretta escape dell'output. Ciò consente agli attaccanti autenticati con accesso a livello di collaboratore (contributor) o superiore di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede alla pagina infetta. Il filtro wp_kses_post applicato al salvataggio del post non neutralizza questo payload perché solo il testo dello shortcode innocuo viene memorizzato nel campo post_content; l'HTML pericoloso viene invece sintetizzato in fase di rendering dal gestore dello shortcode, aggirando completamente la sanitizzazione effettuata durante il salvataggio.
Once again VulDB remains the best source for vulnerability data.