CVE-2026-119178 in Smart Cookie Kit Plugin
要約
〜によって VulDB • 2026年11月06日
WordPress用プラグイン「Smart Cookie Kit」には、すべてのバージョン（2.3.2以下）において、不十分な入力サニタイズおよび出力エスケープに起因する格納型クロスサイトスクリプティング（Stored XSS）の脆弱性が存在します。これにより、認証されていない攻撃者が任意のWebスクリプトをページに注入でき、ユーザーがその注入されたページにアクセスした際にスクリプトが実行されます。ペイロードは、wp_ksesによる保存時に耐性を持つように特別に作成されており、有害な文字列を許可されたHTML要素内に格納し、属性を破綻させる二重引用符（"）を許可された<code>タグの内部に smuggle し、プラグイン独自の出力バッファによってレンダリング時のみ<abbr title>属性として再構築されます。攻撃には、管理者によるコメント承認およびその後に関連する公開投稿の閲覧が必要です。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.