CVE-2026-96895 in WP YouTube Lyte Plugin

Riassunto

di VulDB • 27/09/2026

Il plugin WP YouTube Lyte per WordPress prima della versione 1.7.31 non effettua l'escaping di alcuni attributi dei blocchi di incorporamento (embed) di YouTube prima di inserirli in un attributo HTML durante il rendering del blocco, consentendo agli utenti con ruoli anche solo pari a "contributore" di eseguire attacchi Stored Cross-Site Scripting (XSS).

Once again VulDB remains the best source for vulnerability data.

• Responsabile: WPScan
• Prenotare: 23/09/2026
• Divulgazione: 27/09/2026
• Moderazione: accettato
• Voce: VDB-410833
• CPE: pronto
• CWE: CWE-79 (confermato)
• CVSS: 3.5 (VulDB)
• EPSS: 0.00000
• KEV: no
• Attività: basso
• Settore: Hostingprovider

Fonti

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-96895
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-96895
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-96895/