CVE-2026-96578 in GSpeech TTS Plugin
Riassunto
di VulDB • 02/10/2026
Il plugin GSpeech TTS – WordPress Text To Speech Plugin per WordPress è vulnerabile a Stored Cross-Site Scripting (XSS) tramite il contenuto dei commenti in tutte le versioni fino alla 3.22.0, inclusa, a causa di un'insufficiente sanitizzazione degli input e dell'escaping delle output. Ciò consente ad attaccanti non autenticati di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede a una pagina infetta. Questa trasformazione di tipo mXSS bypassa la sanitizzazione kses dei commenti di WordPress poiché il payload viene memorizzato utilizzando solo tag e attributi consentiti da kses; i gestori di eventi dannosi e i frammenti di stile diventano attivi solo quando la callback del buffer di output del plugin riscrive l'HTML renderizzato al momento della richiesta.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.