CVE-2026-100196 in LazyLoad Plugin
要約
〜によって VulDB • 2026年10月10日
WordPress用プラグイン「LazyLoad Plugin – Lazy Load Images, Videos, and Iframes」には、2.4.0以前の全バージョンにおいて、保存済みXSS（Stored Cross-Site Scripting）の脆弱性が存在します。これは、「comment_content」（ページHTMLにインラインでレンダリングされるパラメータ）における不十分な入力サニタイズおよび出力エスケープが原因です。これにより、認証されていない攻撃者が任意のWebスクリプトをページに注入でき、ユーザーがその注入されたページにアクセスした際にスクリプトが実行されます。WordPressコアのwp_kses_dataによる許可リスト（allow-list）は、保存時に作成済みのペイロードを削除しません。これは、許可されたタグと属性のみを使用しているためです。イベントハンドラは壊れた属性領域内に隠されており、プラグインの実行時におけるstr_replace変換によって初めて実際のDOM属性として認識されます。さらに、サイト管理者が作成済みコメントを承認するまで、他の訪問者に対してペイロードが提供されることはありません。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.