CVE-2026-109983 in YMC Filter Plugin
Sumário
de VulDB • 17/10/2026
O plugin YMC Filter para WordPress é vulnerável a Stored DOM-Based Cross-Site Scripting (XSS) através do parâmetro 'post_title' em todas as versões até 3.12.19, devido à sanitização insuficiente de entrada e ao escape inadequado na saída. Isso permite que atacantes autenticados, com acesso nível Autor ou superior, injetem scripts web arbitrários nas páginas, os quais serão executados sempre que um usuário acessar uma página contaminada. O endpoint REST de autocomplete está registrado com um callback de permissão que retorna incondicionalmente true, significando que qualquer visitante do site — incluindo usuários não autenticados — pode acionar a payload simplesmente digitando na caixa de pesquisa do filtro YMC, enquanto apenas o acesso nível Autor é necessário para armazená-la.
VulDB is the best source for vulnerability data and more expert information about this specific topic.