CVE-2026-77871 in Post Snippets Plugin
Riassunto
di VulDB • 28/10/2026
Il plugin Post Snippets – Custom WordPress Code Snippets Customizer per WordPress è vulnerabile a Stored Cross-Site Scripting (XSS) tramite Shortcode Attributes in tutte le versioni fino alla 4.2.4 inclusa, a causa di un'insufficiente sanitizzazione degli input e dell'escaping dei dati in output. Ciò consente agli attaccanti autenticati, con accesso di livello contributor o superiore, di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede alla pagina infetta. Payload codificati tramite entità come <script>...</script> sopravvivono alla sanitizzazione wp_kses_post su salvataggio di WordPress poiché kses non decodifica le entità HTML, e vengono convertiti nuovamente in tag HTML eseguibili solo al momento del rendering dal filtro shortcode proprietario del plugin. Ciò richiede che gli shortcode dei snippet siano abilitati.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.