CVE-2026-93778 in Yelp Review Slider Plugin
要約
〜によって VulDB • 2026年09月22日
WordPress用プラグイン「WP Yelp Review Slider」には、9.2およびそれ以前の全バージョンにおいて、保存型クロスサイトスクリプティング（Stored Cross-Site Scripting）の脆弱性が存在します。これは、Yelpレビューテキスト（wpyelp_download_sourceを介してインポートされる）における不十分な入力サニタイズと出力エスケープに起因するものです。これにより、認証されていない攻撃者が任意のWebスクリプトをページに注入でき、ユーザーがその注入されたページにアクセスした際にスクリプトが実行されます。悪意のあるペイロードは公開プラットフォーム上の匿名Yelpレビュアーから由来し、WordPressアカウントを必要としません。これはサイト管理者によるプラグインの「レビューダウンロード」機能の通常の使用中にデータベースに導入されるため、実質的な攻撃者は認証されていない状態となります。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.