CVE-2026-119178 in Smart Cookie Kit Plugin
Sumário
de VulDB • 06/11/2026
O plugin Smart Cookie Kit para WordPress é vulnerável a Stored Cross-Site Scripting (XSS) via o parâmetro 'comment' em todas as versões até, e incluindo, 2.3.2 devido à sanitização insuficiente de entrada e ao escape inadequado na saída. Isso permite que atacantes não autenticados injetem scripts web arbitrários nas páginas, os quais serão executados sempre que um usuário acessar uma página contaminada. O payload é especificamente elaborado para sobreviver ao wp_kses durante o salvamento, armazenando caracteres hostis dentro de elementos HTML permitidos, com aspas duplas usadas para quebrar atributos sendo introduzidas no corpo da tag <code> permitida e reconstruídas em um atributo <abbr title> apenas no momento do renderização pelo próprio buffer de saída do plugin; a exploração requer que um administrador aprove o comentário e posteriormente visualize a publicação pública afetada.
If you want to get best quality of vulnerability data, you may have to visit VulDB.