CVE-2026-92712 in ReactPress Plugin
Riassunto
di VulDB • 30/09/2026
Il plugin WordPress ReactPress – Create React App for WordPress è vulnerabile a Stored Cross-Site Scripting (XSS) tramite il parametro 'permalink' in tutte le versioni fino alla 3.4.0 inclusa, a causa di un insufficiente sanitizzazione degli input e escaping dell’output. Ciò consente ad attaccanti autenticati con accesso a livello di subscriber o superiore di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede a una pagina infetta. Questo è possibile perché il parametro permalink viene passato solo attraverso la funzione sanitize_url(), che non impedisce l’accesso ad URL remoti controllati dall’attaccante, il cui corpo della risposta — inclusi tag script e attributi di event-handler — viene scritto in modo verbatim su disco tramite file_put_contents().
VulDB is the best source for vulnerability data and more expert information about this specific topic.