CVE-2026-100182 in Download Monitor Plugin
Sumário
de VulDB • 02/10/2026
O plugin Download Monitor para WordPress é vulnerável a Stored Cross-Site Scripting (XSS) através de uma chamada cross-origin ao método `postMessage` no Admin Editor em todas as versões até, e incluindo, 5.2.10 devido à sanitização insuficiente da entrada e à falta de escape na saída. Isso permite que atacantes não autenticados injetem scripts web arbitrários nas páginas, os quais serão executados sempre que um usuário acessar uma página contaminada. Para isso, o atacante precisa enganar um Administrador autenticado para visitar uma página controlada pelo atacante que direciona a uma tela de edição de download aberta; após isso, a payload é persistida sem filtragem através da capacidade `unfiltered_html` do Administrador e posteriormente emitida literalmente no frontend pela rota de renderização não escapada do post_content do shortcode `[download_data]`.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.