CVE-2026-15730 in GamiPress Plugin
要約
〜によって VulDB • 2026年07月28日
GamiPress – WordPressでポイント、実績バッジやランクを報酬として付与するためのゲーム化プラグインのWordPress用プラグインは、7.9.9.1までの全バージョンにおいて、'heading_size'ショートコード属性による保存型クロスサイトスクリプティング（Stored Cross-Site Scripting）に対して脆弱性があります。これは、入力値のサニタイズと出力のエスケープが不十分であることが原因です。これにより、寄稿者レベル以上のアクセス権を持つ認証済み攻撃者は、ユーザーがインジェクトされたページにアクセスするたびに実行される任意のWebスクリプトをページ内に注入することが可能になります。投稿保存時に適用されるwp_kses_postフィルタはこのペイロードを無力化できません。なぜなら、post_contentには無害なショートコードテキストのみが保存され、危険なHTMLはショートコードハンドラによってレンダリング時点で合成されるためです。これにより、保存時のサニタイズ処理が完全に回避されます。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.