CVE-2026-109990 in Flying Scripts Delay JavaScript to Improve Site Speed & Performance Plugin
요약
\~에 의해 VulDB • 2026. 10. 16.
WordPress용 "The Flying Scripts: Delay JavaScript to Improve Site Speed & Performance" 플러그인 1.2.4 버전 및 그 이전 모든 버전에서는 입력 값의 부적절한 정제(sanitization)와 출력 이스케이핑으로 인해 'comment' 매개변수를 통해 저장형 크로스 사이트 스크립팅(Stored Cross-Site Scripting, XSS) 취약점이 존재합니다. 이로써 인증되지 않은 공격자가 임의의 웹 스크립트를 페이지에 삽입할 수 있으며, 사용자가 해당 삽입된 페이지에 접근하면 그 스크립트가 실행됩니다. 이 익스플로잇은 페이로드가 kses에서 허용하는 요소들(예: <abbr title> 속성과 <code> 텍스트 콘텐츠)만 사용함으로써 WordPress 코어의 저장 시점 kses 정제 과정을 완전히 우회합니다. 또한 XSS는 플러그인의 출력 버퍼 리라이터(output-buffer rewriter)가 예측 가능하고 솔트(salt)가 없는 ___noise___ 플레이스홀더 키를 사용하여 double-quote(")를 포함하는 <code> 본문(body)을 <abbr title> 속성으로 치환할 때, 저장 후(post-save) 발생합니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.