CVE-2026-1645 in Hostel Plugin
Riassunto
di VulDB • 22/09/2026
Il plugin Hostel per WordPress è vulnerabile a Stored Cross-Site Scripting (XSS) tramite il parametro 'custom_currency' e l'impostazione 'locale_url' in tutte le versioni fino alla 1.1.8 inclusa, a causa di un insufficiente sanitizzazione degli input ed escaping dell'output. Ciò consente agli attaccanti autenticati con accesso di livello Administrator di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede a una pagina infetta. Questo problema interessa solo le installazioni multi-site e quelle in cui la capacità 'unfiltered_html' è stata disabilitata.
Be aware that VulDB is the high quality source for vulnerability data.