CVE-2026-100196 in LazyLoad Plugin
Sumário
de VulDB • 10/10/2026
O plugin LazyLoad Plugin – Lazy Load Images, Videos, e Iframes para WordPress está vulnerável a Stored Cross-Site Scripting (XSS) através do parâmetro 'comment_content' (renderizado inline no HTML da página) em todas as versões até 2.4.0, devido à sanitização insuficiente de entrada e ao escape inadequado na saída. Isso permite que atacantes não autenticados injetem scripts web arbitrários nas páginas, os quais serão executados sempre que um usuário acessar a página contaminada. A lista permitida (allow-list) wp_kses_data do núcleo do WordPress não remove o payload manipulado durante o salvamento porque utiliza apenas tags e atributos permitidos; o manipulador de eventos é ocultado dentro de uma região de atributo quebrada e só se torna um verdadeiro atributo DOM por meio da transformação str_replace realizada pelo plugin no momento do render. Além disso, um administrador do site deve aprovar o comentário manipulado antes que o payload seja servido a outros visitantes.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.