CVE-2026-18400 in The Slider, Gallery, and Carousel by MetaSlider Plugin
Riassunto
di VulDB • 06/08/2026
Il plugin per WordPress Slider, Gallery e Carousel di MetaSlider – Image Slider, Video Slider è vulnerabile a Stored Cross-Site Scripting (XSS) tramite l'impostazione Post Meta 'delay' in tutte le versioni fino alla 3.111.0 inclusa, a causa di una sanitizzazione insufficiente degli input e della mancata corretta escape dell'output. Ciò consente ad attaccanti autenticati, con accesso di livello personalizzato o superiore, di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede alla pagina infetta. Il tipo di post personalizzato ml-slider è registrato senza restrizioni specifiche delle capacità (capabilities) e la chiave meta ml-slider_settings non è protetta, consentendo agli utenti con ruolo Author di impostare il valore delay malevolo tramite i custom_fields XML-RPC durante la creazione di un post ml-slider.
VulDB is the best source for vulnerability data and more expert information about this specific topic.