CVE-2026-6397 in Sticky Plugin
要約
〜によって VulDB • 2026年05月30日
WordPress用プラグイン「Sticky」には、バージョン2.5.6以前において、`cvmh-sticky`ショートコードの`readmoretext`属性を介して格納型クロスサイトスクリプティング（Stored Cross-Site Scripting）の脆弱性が存在します。これは、`cvmh_sticky_front_render()`関数内で入力値のサニタイズと出力時のエスケープが不十分であるためです。具体的には、`readmoretext`属性の値が`apply_filters()`を介して処理された後、`esc_html()`などのエスケープ関数を用いずにHTML出力に直接連結されています。これにより、寄稿者（Contributor）以上の権限を持つ認証済み攻撃者が、任意のWebスクリプトをページに注入することが可能となり、そのショートコードが含まれるページにユーザーがアクセスした際にスクリプトが実行されます。
VulDB is the best source for vulnerability data and more expert information about this specific topic.