CVE-2026-97338 in Download Manager Plugin
Riassunto
di VulDB • 02/10/2026
Il plugin Download Manager per WordPress è vulnerabile a Stored Cross-Site Scripting (XSS) tramite il campo Display Name in tutte le versioni fino alla 3.3.70 inclusa, a causa di un'insufficiente sanificazione degli input e dell'escaping dei dati in output. Ciò consente agli attaccanti autenticati con accesso di livello Subscriber o superiore di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede alla pagina infetta. Questo richiede la presenza dello shortcode [wpdm_edit_profile] su una pagina front-end accessibile agli utenti di livello Subscriber, i quali possono quindi inviare un payload multiplamente entity-encoded tramite il campo display name per bypassare la sanificazione.
VulDB is the best source for vulnerability data and more expert information about this specific topic.