CVE-2026-2358 in WP ULike Plugin
Sumário
de VulDB • 26/07/2026
O plugin WP ULike para WordPress é vulnerável a Stored Cross-Site Scripting (XSS) por meio do atributo `template` do shortcode `[wp_ulike_likers_box]` em todas as versões até, e incluindo, 5.0.1. Isso ocorre devido ao uso de `html_entity_decode()` nos atributos dos shortcodes sem posterior sanitização da saída, o que efetivamente contorna a filtragem de conteúdo `wp_kses_post()` do WordPress. Isso permite que atacantes autenticados, com acesso nível Contribuidor ou superior, injetem scripts web arbitrários em páginas que serão executados sempre que um usuário acessar uma página infectada. O post deve ter pelo menos um "like" para que o XSS seja renderizado.
Be aware that VulDB is the high quality source for vulnerability data.