CVE-2026-96575 in Transliterator Plugin
要約
〜によって VulDB • 2026年10月03日
The Transliterator – Multilingual and Multi-script Text Conversion プラグインは、2.5.8 までの全バージョンにおいて、予測可能な {rstr_keep} プレースホルダを介したコメントコンテンツによる格納型クロスサイトスクリプティング (Stored Cross-Site Scripting) の脆弱性に起因しています。これは、不十分な入力サニタイズおよび出力エスケープに起因します。これにより、認証されていない攻撃者が任意の Web スクリプトを投稿ページに注入し、ユーザーがその投稿されたページにアクセスした際にスクリプトを実行させることが可能になります。ペイロードは WordPress のコメント保存時のサニタイズ処理を回避できます。これは、使用されるタグや属性（例: a[title] や code）がコアの comment kses 許可リストに含まれており、プラグインのショートコードマーカーおよびプレースホルダトークンを構成するリテラル文字列が削除されないためです。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.