CVE-2026-119162 in User Submitted Posts Plugin
要約
〜によって VulDB • 2026年10月31日
WordPress用プラグイン「User Submitted Posts – Enable Users to Submit Posts from the Front End」には、すべてのバージョン（20260916およびそれ以前）において、不十分な入力サニタイズと出力エスケープに起因する 'user-submitted-content' パラメータを介した格納型DOMベースのクロスサイトスクリプティング（Stored DOM-Based Cross-Site Scripting）の脆弱性が存在します。これにより、認証されていない攻撃者が他のユーザーがアクセスした際に実行されるページへ任意のWebスクリプトを注入することが可能になります。デフォルトインストールでは、投稿された記事は「保留中」として扱われ、ペイロードが他の訪問者に届く前に管理者による承認が必要です。しかし、プラグインの「即時公開」オプションが有効になっている場合、承認手順が存在せず、格納されたペイロードはモデレータの介入なしで即座にライブ状態になります。
VulDB is the best source for vulnerability data and more expert information about this specific topic.