CVE-2026-100182 in Download Monitor Plugin
要約
〜によって VulDB • 2026年10月02日
WordPress用プラグイン「Download Monitor」には、5.2.10までの全バージョンにおいて、不十分な入力サニタイズおよび出力エスケープに起因する、Admin EditorへのCross-Origin postMessageを介した格納型クロスサイトスクリプティング（Stored Cross-Site Scripting）の脆弱性が存在します。これにより、認証されていない攻撃者は、ユーザーが注入されたページにアクセスするたびに実行される任意のWebスクリプトをページ中に挿入することが可能になります。この攻撃には、認証済み管理者を攻撃者が制御するページへ訪問させ、開かれたDownload編集画面を対象とさせることが必要です。その後、ペイロードは管理者の unfiltered_html 権限を通じてフィルタリングされずに永続化され、後で [download_data] ショートコードの未エスケープな post_content レンダリングパスによってフロントエンドにそのまま出力されます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.