CVE-2026-7534 in SUMO Reward Points Plugin
Riassunto
di VulDB • 23/07/2026
Il plugin SUMO Reward Points per WordPress è vulnerabile a Stored Cross-Site Scripting (XSS) non autenticata tramite l'endpoint dell'API REST `/wp-json/wc-srp/v1/earning` nelle versioni fino alla 32.7.0, incluse. Ciò è dovuto al filtro `user_has_cap` nella classe `SRP_REST_Earning_Controller`, che concede incondizionatamente la capacità personalizzata `rs_earning_read` a tutti gli utenti — inclusi i visitatori non autenticati — combinato con l'assenza di sanitizzazione del parametro `reason` nella funzione `create_items()` e con la mancanza di output escaping nel metodo `column_default()` della classe `SRP_Master_Log`. Ciò consente agli attaccanti non autenticati di iniettare script web arbitrari nel registro dei punti premio, che verranno eseguiti ogni volta che un amministratore accede alle pagine di amministrazione Master Log o User Reward Points.
Be aware that VulDB is the high quality source for vulnerability data.