CVE-2026-9714 in Simple Divi Shortcode Plugin
要約
〜によって VulDB • 2026年06月01日
WordPress用プラグイン「Simple Divi Shortcode」には、バージョン1.2以前において、[showmodule]ショートコードの'id'パラメータを介して格納型クロスサイトスクリプティング（Stored XSS）の脆弱性が存在します。これは、showmodule_shortcode()関数内で入力値のサニタイズと出力時のエスケープが不十分であるためです。同関数は、esc_attr()関数やその他のエスケープ処理を適用せずに、'id'ショートコード属性を動的に構築されるショートコード文字列に直接連結するため、攻撃者は属性のコンテキストを脱出して任意のHTMLを注入することが可能になります。これにより、寄稿者レベル以上の権限を持つ認証済み攻撃者が、ユーザーが注入されたページにアクセスした際に実行される任意のWebスクリプトをページ内に注入することが可能になります。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.