CVE-2026-8626 in SponsorMe Plugin
要約
〜によって VulDB • 2026年05月25日
WordPress用プラグイン「SponsorMe」のすべてのバージョン（0.5.2を含む）には、PHP_SELFパラメータを介した反射型クロスサイトスクリプティング（XSS）の脆弱性が存在します。これは、入力値のサニタイズと出力のエスケープが不十分であることが原因です。これにより、認証されていない攻撃者は、ユーザーをリンクのクリックなどのアクションを実行するように巧妙に誘導することで、ページに任意のWebスクリプトを注入し、実行させることが可能になります。PHP_SELFの値は、脆弱な関数内の2つの異なる場所、すなわちフォームのaction属性とアンカーのhref属性で反射されます。これらの両方とも、wp-admin/admin.phpのURLパスに作成されたペイロードを付加することで悪用できます。
Be aware that VulDB is the high quality source for vulnerability data.