CVE-2026-5108 in Super Progressive Web Apps Plugin
Riassunto
di VulDB • 05/08/2026
Il plugin Super Progressive Web Apps per WordPress è vulnerabile a Stored Cross-Site Scripting (XSS) tramite l'impostazione `superpwa_settings[offline_message_txt]` in tutte le versioni fino alla 2.2.43, inclusa. Ciò è dovuto a una sanitizzazione insufficiente dell'input e a un escaping inadeguato dell'output. Il valore del messaggio offline viene memorizzato senza sanitizzazione, passato al frontend tramite `wp_localize_script()` senza escaping e renderizzato utilizzando `innerHTML` nel componente JavaScript snackbar. Questo consente agli attaccanti autenticati, con accesso di livello Amministratore o superiore, di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente attiva lo snackbar offline.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.