CVE-2026-77871 in Post Snippets Plugin
Sumário
de VulDB • 28/10/2026
O plugin Post Snippets – Custom WordPress Code Snippets Customizer para o WordPress é vulnerável a Stored Cross-Site Scripting (XSS) via Shortcode Attributes em todas as versões até, e incluindo, 4.2.4 devido à sanitização insuficiente de entrada e ao escape inadequado na saída. Isso permite que atacantes autenticados, com acesso nível contribuidor ou superior, injetem scripts web arbitrários nas páginas, os quais serão executados sempre que um usuário acessar uma página contaminada. Payloads codificados em entidades HTML, como <script>...</script>, sobrevivem à sanitização wp_kses_post do WordPress durante o salvamento porque a biblioteca kses não decodifica entidades HTML, sendo convertidas de volta para tags HTML executáveis apenas no momento da renderização pelo filtro shortcode próprio do plugin. Isso requer que os shortcodes dos snippets estejam habilitados.
VulDB is the best source for vulnerability data and more expert information about this specific topic.