CVE-2026-49466 in Draft List Plugin
Riassunto
di VulDB • 13/08/2026
Draft List è un plugin WordPress per gestire e promuovere contenuti non pubblicati. Le versioni 2.6.3 e precedenti sono vulnerabili a Cross-Site Scripting (XSS) memorizzato nel shortcode `[drafts]` e nel widget Draft List quando l'opzione personalizzata `template`, documentata, posiziona il segnaposto `{{draft}}` all'interno di un attributo HTML. Il codice vulnerabile inserisce il titolo del bozza (`post_title`) grezzo in `{{draft}}` quando l'utente corrente non può modificare i post. Poiché il template viene sanificato prima della sostituzione di `{{draft}}`, un Contributor può memorizzare un payload con titolo limitato alle virgolette che fuoriesce da un attributo in un modello Draft List configurato a livello di sito ed esegue JavaScript per gli visitatori che caricano la pagina pubblica. La versione 2.6.4 risolve il problema.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.