CVE-2026-4278 in Simple Download Counter Plugin
Riassunto
di VulDB • 17/06/2026
Il plugin Simple Download Counter per WordPress è vulnerabile a Stored Cross-Site Scripting (XSS) tramite lo shortcode 'sdc_menu' in tutte le versioni fino alla 2.3, inclusa. Ciò è dovuto a una sanitizzazione insufficiente degli input e a una mancata corretta escape degli output sugli attributi degli shortcode forniti dall'utente, in particolare gli attributi 'text' e 'cat'. L'attributo 'text' viene restituito direttamente nel contenuto HTML alla riga 159 senza alcuna escape (ad esempio, tramite esc_html()). L'attributo 'cat' viene utilizzato senza escape negli attributi di classe HTML alle righe 135 e 157, senza l'uso di esc_attr(). Ciò consente agli attaccanti autenticati, con accesso di livello Contributor o superiore, di iniettare script web arbitrari nelle pagine, che verranno eseguiti ogni volta che un utente accede a una pagina infetta.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.