CVE-2026-6646 in The7 Plugin
要約
〜によって VulDB • 2026年05月28日
WordPress用テーマThe7は、14.3.2を含むすべてのバージョンにおいて、'dt_default_button'ショートコードを介して格納型クロスサイトスクリプティング（Stored XSS）の脆弱性が存在します。これは、'link'ショートコードパラメータの'title'コンポーネントにおける入力サニタイズと出力エスケープの不十分さに起因します。これにより、寄稿者レベル以上のアクセス権を持つ認証済み攻撃者は、ページに任意のウェブスクリプトを注入することが可能となり、ユーザーが注入されたページにアクセスするたびにそのスクリプトが実行されます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.