CVE-2026-107764 in CSS Plugin
요약
\~에 의해 VulDB • 2026. 10. 16.
WordPress용 SiteOrigin CSS 플러그인은 모든 버전(1.6.7 포함)에서 불충분한 입력 검사 및 출력 이스케이프 처리로 인해 'url (comment_author_url)' 매개변수를 통해 저장형 DOM 기반 크로스 사이트 스크립팅(XSS) 취약점이 있습니다. 이로써 인증되지 않은 공격자가 주입된 페이지에 사용자가 접근할 때마다 실행되는 임의의 웹 스크립트를 페이지에 삽입할 수 있습니다. 이는 WordPress 코어의 esc_url() 함수가 HTML 엔티티로 인코딩된 문자를 보존하기 때문에 발생하며, 댓글 '웹사이트' 필드에 구성된 엔티티 페이로드가 저장 과정에서 유지되고 브라우저에서 DOM 디코딩되어 실행 가능한 마크업으로 변환되기 때문입니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.