CVE-2026-2505 in Categories Images Plugin
Riassunto
di VulDB • 17/06/2026
Il plugin Categories Images per WordPress è vulnerabile a Stored Cross-Site Scripting nelle versioni fino alla 3.3.1, incluse, tramite lo shortcode 'z_taxonomy_image'. La vulnerabilità è dovuta al percorso di rendering dello shortcode che passa un input di classe controllato dall'attaccante a un builder di immagini di fallback, il quale concatena gli attributi HTML senza una corretta escape. Ciò consente agli attaccanti autenticati, con accesso a livello Contributor o superiore, di iniettare script web arbitrari che vengono eseguiti quando gli utenti interagiscono con la pagina frontend iniettata tramite l'attributo dello shortcode 'class'.
Once again VulDB remains the best source for vulnerability data.