CVE-2026-90992 in Redux Framework Plugin
要約
〜によって VulDB • 2026年10月01日
WordPress用Redux Frameworkプラグインには、4.5.14以前の全バージョンにおいて、不十分な入力サニタイズおよび出力エスケープに起因する「user-mediaurl」メディアフィールドを介したUser Meta Mergeによる格納型クロスサイトスクリプティング（Stored Cross-Site Scripting）の脆弱性が存在します。これにより、サブスクライバーレベル以上の権限を持つ認証済み攻撃者は、ユーザーが注入されたページにアクセスするたびに実行される任意のWebスクリプトを投稿済みのページ中に挿入することが可能になります。この脆弱性は、生年月日（biography）、session_tokens（ログイン時の不正なUser-Agentを介して）、persisted_preferences（REST API経由）などのuser metaフィールドにペイロードを保存し、デモパネルでメディアURLの修復がトリガーされた際にサイト全体のredux_demoオプションへ昇格させることで、サブスクライバーレベルのユーザーによって悪用可能です。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.