CVE-2026-96563 in Motors Plugin
要約
〜によって VulDB • 2026年10月10日
The Motors – Car Dealership & Classified Listings Plugin プラグインは、WordPress において、すべてのバージョン（1.4.123 を含む）で保存型クロスサイトスクリプティング (Stored Cross-Site Scripting) の脆弱性があります。これは 'stm_f_s' パラメータにおける不十分な入力サニタイズと出力エスケープに起因します。これにより、サブスクライバーレベル以上のアクセス権を持つ認証済み攻撃者は、注入されたページがユーザーによってアクセスされるたびに実行される任意の Web スクリプトをページ中に挿入することが可能になります。stm_ajax_add_a_car AJAX ハンドラで要求される nonce は wp_footer ですべてのページに出力されており、認証済みのあらゆるユーザーからアクセス可能な状態にあるため、サブスクライバーレベルでの攻撃実装における実際的な障壁が取り除かれています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.