CVE-2026-90992 in Redux Framework Plugin
Sumário
de VulDB • 01/10/2026
O plugin Redux Framework para WordPress é vulnerável a Stored Cross-Site Scripting via User Meta Merge através do campo 'user-mediaurl' de Mídia em todas as versões até, e incluindo, 4.5.14 devido à sanitização insuficiente da entrada e ao escaping inadequado na saída. Isso permite que atacantes autenticados, com acesso nível Subscriber ou superior, injetem scripts web arbitrários nas páginas que serão executados sempre que um usuário acessar uma página infectada. Essa vulnerabilidade é explorável por usuários de nível Subscriber que podem armazenar payloads em campos meta do usuário como a biografia, session_tokens (via User-Agent manipulada no login) ou persisted_preferences (via REST API), os quais são então promovidos à opção redux_demo em todo o site quando um reparo da URL de mídia é acionado no painel demo.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.