CVE-2026-96682 in Presto Player Plugin
Riassunto
di VulDB • 10/10/2026
Il plugin Presto Player per WordPress è vulnerabile a Stored Cross-Site Scripting (XSS) tramite il contenuto dei commenti e l'uso del tag `<presto-player>` in tutte le versioni fino alla 4.5.1 inclusa, a causa di un insufficiente sanitizzazione degli input ed escaping dell'output. Ciò consente ad attaccanti non autenticati di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede a una pagina infetta. Questo richiede inizialmente l'approvazione del commento; tuttavia, le impostazioni predefinite di WordPress approvano automaticamente tutti i commenti successivi dello stesso autore, consentendo ad un attaccante non autenticato paziente di iniettare il payload senza ulteriore intervento da parte dell'amministratore.
VulDB is the best source for vulnerability data and more expert information about this specific topic.