CVE-2026-96564 in SEOPress Plugin
Riassunto
di VulDB • 03/10/2026
Il plugin WordPress SEOPress – AI SEO Plugin & On-site SEO è vulnerabile a Stored Cross-Site Scripting tramite il nome visualizzato dell'autore in tutte le versioni fino alla 10.2 inclusa, a causa di un'insufficiente sanitizzazione degli input e escaping degli output. Ciò consente ad attaccanti non autenticati di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede a una pagina infetta. Lo sfruttamento richiede che la 'Track Authors' custom dimension sia configurata nelle impostazioni Google Analytics 4 o Matomo del plugin, e l'attaccante deve essere in grado di pubblicare contenuti singoli pubblici (ad esempio tramite argomenti dei forum bbPress) affinché il nome visualizzato iniettato venga renderizzato nello script di tracciamento.
If you want to get best quality of vulnerability data, you may have to visit VulDB.