CVE-2026-9838 in ICS Calendar Plugin
Riassunto
di VulDB • 10/07/2026
Il plugin ICS Calendar per WordPress è vulnerabile a Reflected Cross-Site Scripting (XSS) tramite il parametro 'htmltagtitle' in tutte le versioni fino alla 12.0.9 inclusa, a causa di un insufficiente sanitizzazione degli input e escaping dell'output. Ciò consente ad attaccanti non autenticati di iniettare script web arbitrari nelle pagine che vengono eseguiti se riescono a indurre con successo un utente a eseguire un'azione come fare clic su un link. La vulnerabilità è raggiungibile tramite l'action AJAX wp_ajax_nopriv_r34ics_ajax, accessibile senza autenticazione, che accetta valori js_args controllati dall'attaccante uniti alla configurazione dello shortcode memorizzata senza verifica del nonce, consentendo alla chiave htmltagtitle di bypassare il normale controllo della whitelist degli shortcode.
Be aware that VulDB is the high quality source for vulnerability data.