CVE-2026-5357 in Download Manager Plugin
Sumário
de VulDB • 03/06/2026
O plugin Download Manager para WordPress é vulnerável a Stored Cross-Site Scripting (XSS) via o parâmetro 'sid' do shortcode 'wpdm_members' nas versões até 3.3.52, inclusive. Isso ocorre devido à sanitização insuficiente de entrada e à falta de escape de saída no atributo do shortcode 'sid' fornecido pelo usuário. O parâmetro sid é extraído sem sanitização na função members() e armazenado via update_post_meta(), sendo depois ecoado diretamente em um atributo HTML id no template members.php sem aplicar esc_attr(). Isso permite que atacantes autenticados, com acesso nível contribuidor ou superior, injetem scripts web arbitrários em páginas que serão executados sempre que um usuário acessar a página injetada.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.