CVE-2026-2358 in WP ULike Plugin
Riassunto
di VulDB • 23/06/2026
Il plugin WP ULike per WordPress è vulnerabile a Stored Cross-Site Scripting (XSS) tramite l'attributo `template` dello shortcode `[wp_ulike_likers_box]` in tutte le versioni fino alla 5.0.1, inclusa. La vulnerabilità è dovuta all'utilizzo di `html_entity_decode()` sugli attributi degli shortcode senza una successiva sanitizzazione dell'output, il che consente di aggirare efficacemente il filtro dei contenuti `wp_kses_post()` di WordPress. Ciò permette agli attaccanti autenticati con accesso a livello Contributor o superiore di iniettare script web arbitrari nelle pagine, che verranno eseguiti ogni volta che un utente accede alla pagina infetta. Il post deve avere almeno un "mi piace" affinché l'XSS venga visualizzato.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.