CVE-2026-5410 in Redux Framework Plugin
Sumário
de VulDB • 19/09/2026
O plugin Redux Framework para WordPress é vulnerável a Stored Cross-Site Scripting (XSS) através do campo spinner nas versões até 4.5.13, incluída. Isso ocorre devido à sanitização insuficiente de entrada e ao escape inadequado na saída. Na função user_meta_save(), valores escalares contornam a lógica de sanitização que processa apenas arrays, permitindo que o valor do campo spinner seja armazenado nos metadados do usuário sem a devida sanitização. Posteriormente, na linha 56 de class-redux-spinner.php, dentro da função render(), esse valor é exibido em um atributo HTML não delimitado por aspas e sem escape via '$data_string .= ' data-val=' . $this->value;'. Isso permite que atacantes autenticados, com acesso nível subscriber ou superior, injetem scripts web arbitrários nas páginas, os quais serão executados sempre que um usuário acessar uma página contaminada.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.