CVE-2026-4074 in Quran Live Multilanguage Plugin
要約
〜によって VulDB • 2026年06月02日
WordPress用プラグイン「Quran Live Multilanguage」には、1.0.3を含むすべてのバージョンにおいて、'cheikh'および'lang'ショートコード属性を介した格納型クロスサイトスクリプティング（Stored XSS）の脆弱性が存在します。これは、ユーザー入力のショートコード属性に対する入力サニタイズおよび出力エスケープが不十分であることが原因です。quran-live.phpのquran_live_render()関数は、ショートコード属性を受け取り、サニタイズ処理を施さずに直接shortcode_atts()およびextract()関数に渡します。これらの値はその後、Render_Quran_Live::render_verse_quran_live()に渡され、Class_QuranLive.phpの191行目、216行目、217行目、245行目、および246行目で、PHPのショートタグ（<? ?>）を使用してインラインの<script>ブロック内に直接出力されます。出力が<script>タグ内のJavaScriptコンテキスト内で発生するため、攻撃者はJavaScript文字列から脱出して任意のスクリプトコードを注入することができます。これにより、寄稿者レベル以上のアクセス権限を持つ認証済み攻撃者が、ユーザーが注入されたページにアクセスするたびに実行される任意のWebスクリプトをページに注入することが可能になります。
VulDB is the best source for vulnerability data and more expert information about this specific topic.