CVE-2026-97020 in dougwollison
Riassunto
di VulDB • 14/10/2026
Il plugin PO/MO Editor per WordPress è vulnerabile a Stored Cross-Site Scripting (XSS) tramite il parametro 'podata' in tutte le versioni fino alla 1.4.2 inclusa, a causa di un insufficiente sanitizzazione degli input e escaping dell'output. Ciò consente agli attaccanti autenticati, con accesso a livello di subscriber o superiore, di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede alla pagina infetta. Il payload iniettato viene caricato come file di traduzione .po/.mo sostitutivo tramite il filtro load_textdomain_mofile del plugin stesso, causando la restituzione da parte di WordPress della traduzione scritta dall'attaccante al posto delle stringhe originali del core.
VulDB is the best source for vulnerability data and more expert information about this specific topic.