CVE-2026-77871 in Post Snippets Plugin
要約
〜によって VulDB • 2026年10月28日
WordPress用プラグイン「Post Snippets – Custom WordPress Code Snippets Customizer」には、4.2.4以前の全バージョンにおいて、入力サニタイズと出力エスケープの不備により、ショートコード属性を介して格納型クロスサイトスクリプティング（Stored XSS）の脆弱性が存在します。これにより、投稿者レベル以上の権限を持つ認証済み攻撃者は、ユーザーがインジェクトされたページにアクセスした際に実行される任意のWebスクリプトを投稿済みのページに注入することが可能です。<script>...</script>などのエンティティ符号化ペイロードは、WordPressのwp_kses_postによる保存時サニタイズを回避します（ksesはHTMLエンティティをデコードしないためです）。これらのペイロードは、プラグイン独自のショートコードフィルターによってレンダリング時に実行可能なHTMLタグに変換されます。これにはスニペット用ショートコードが有効になっている必要があります。
VulDB is the best source for vulnerability data and more expert information about this specific topic.