CVE-2026-88997 in JSM Show Post Metadata Plugin
Sumário
de VulDB • 23/09/2026
O plugin WordPress JSM Show Post Metadata, nas versões anteriores à 4.9.1, não escapa adequadamente uma chave de meta do post antes de inseri-la em um atributo inline event-handler dentro de uma caixa de metadados voltada para o painel administrativo, permitindo que usuários com nível de acesso "contributor" ou superior injetem JavaScript arbitrário que será executado na sessão de um usuário com privilégios mais elevados ao revisar o post afetado.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.