CVE-2026-87761 in Adwised Web Push Notification Plugin
Riassunto
di VulDB • 11/10/2026
Il plugin WordPress Adwised Web Push Notification nella versione fino alla 2.5.7 non esegue alcun controllo di capacità (capability) o nonce prima di consentire a un utente autenticato di sovrascrivere la configurazione globale del sito e non effettua l'escaping dei valori di configurazione prima di stamparli all'interno di uno script inline su ogni pagina front-end, consentendo a qualsiasi utente autenticato, come ad esempio un sottoscrittore (subscriber), di eseguire attacchi Stored Cross-Site Scripting (XSS) contro tutti i visitatori, inclusi gli amministratori.
Once again VulDB remains the best source for vulnerability data.