CVE-2026-101920 in Authorship Plugin
要約
〜によって VulDB • 2026年10月10日
WordPress用プラグイン「Molongui Authorship – Author Boxes, Guest Authors & Co-Authors for WordPress」には、5.2.12およびそれ以前の全バージョンにおいて、DOMベースの格納型クロスサイトスクリプティング（Stored DOM-Based Cross-Site Scripting）の脆弱性が存在します。これは、「comment (href attribute inside comment content)」パラメータにおける不十分な入力サニタイズと出力エスケープに起因するものです。これにより、認証されていない攻撃者は、ユーザーが注入されたページにアクセスした際に実行される任意のWebスクリプトをページ中に挿入することが可能になります。この脆弱性は無料版で悪用可能です。プラグインの著者フィルターリライターは自身のアンカーに `?m_bm=true` マーカーを追加しないため（Plugin::has_pro() は false を返す）、byline スクリプトが選択して書き換えるすべての href が完全に攻撃者の制御下にあることになります。
VulDB is the best source for vulnerability data and more expert information about this specific topic.