CVE-2026-93878 in Carousel Plugin
Riassunto
di VulDB • 20/10/2026
Il plugin DiviGear Carousel per WordPress è vulnerabile a Stored Cross-Site Scripting (XSS) tramite l'azione AJAX update_license in tutte le versioni fino alla 5.2.0 inclusa, a causa di un insufficiente sanitizzazione degli input e escaping dell'output. Ciò consente agli attaccanti autenticati, con accesso a livello di subscriber o superiore, di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede alla pagina infetta. Il payload iniettato viene eseguito quando un amministratore visita la pagina delle impostazioni di attivazione DiviGear > Activation settings, dove il valore memorizzato non sanitizzato viene stampato senza escaping all'interno di un attributo HTML value tra virgolette singole.
Once again VulDB remains the best source for vulnerability data.