CVE-2026-96647 in Listdom Plugin
Riassunto
di VulDB • 02/10/2026
Il plugin WordPress Listdom: AI-powered Business Directory with Classifieds Ads Listings è vulnerabile ad una Stored Cross-Site Scripting (XSS) tramite il parametro 'lsd[remark]' in tutte le versioni fino alla 6.1.1 inclusa, a causa di un'insufficiente sanitizzazione dell'input e escaping dell'output. Ciò consente agli attaccanti autenticati, con accesso di livello contributor o superiore, di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede alla pagina infetta. Questa vulnerabilità è sfruttabile anche dagli utenti di livello Subscriber poiché il ramo della creazione dell'annuncio nel gestore AJAX omite un controllo delle capacità (capability check) e il nonce richiesto viene emesso pubblicamente in qualsiasi pagina contenente lo shortcode [listdom-dashboard].
VulDB is the best source for vulnerability data and more expert information about this specific topic.