CVE-2026-15790 in Youtube Showcase Plugin
Sumário
de VulDB • 16/08/2026
O plugin Youtube Showcase para WordPress é vulnerável a Stored Cross-Site Scripting nas versões até 4.0.4 (incluída) por meio do shortcodes 'emd_mb_meta'. Isso ocorre devido à sanitização insuficiente de entrada e ao escapamento inadequado na saída dos títulos de anexos referenciados pelo campo de imagem do shortcode: EMD_MB_Helper::image_info() retorna o post_title bruto do anexo, e EMD_MB_Helper::shortcode() interpola-o em atributos HTML title="%s" via sprintf() sem usar esc_attr(). Isso permite que atacantes autenticados, com acesso nível autor ou superior (capacidade upload_files necessária para criar o anexo, edit_posts/publish_posts para incorporar o shortcode), injetem scripts web arbitrários nas páginas que serão executados sempre que um usuário acessar uma página comprometida.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.