CVE-2026-92554 in ShopLentor Plugin
要約
〜によって VulDB • 2026年09月18日
WordPress用プラグイン「ShopLentor – All-in-One WooCommerce Growth & Store Enhancement Plugin」には、3.5.1およびそれ以前の全バージョンにおいて、Reflected Cross-Site Scripting（反射型XSS）の脆弱性が存在します。これはクエリ文字列パラメータ名を介して発生し、入力値のサニタイズと出力時のエスケープが不十分であることが原因です。これにより、認証されていない攻撃者が任意のWebスクリプトをページに注入でき、ユーザーがリンクをクリックなどの操作を行うように巧妙に誘導することで、そのスクリプトを実行させることができます。この脆弱性は「WL: Product Horizontal Filter」ウィジェットを通じてトリガーされ、現在のURLから攻撃者が指定したクエリ文字列パラメータ名がエスケープ処理なしでoption要素のvalue属性値として反映されるため、payloadが value="..." 属性コンテキストからの脱出を可能にします。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.