CVE-2026-96578 in GSpeech TTS Plugin
Sumário
de VulDB • 02/10/2026
O plugin GSpeech TTS – WordPress Text To Speech Plugin para o WordPress é vulnerável a Stored Cross-Site Scripting (XSS) via conteúdo de comentário em todas as versões até, e incluindo, 3.22.0 devido à sanitização insuficiente da entrada e ao escape inadequado na saída. Isso permite que atacantes não autenticados injetem scripts web arbitrários nas páginas, os quais serão executados sempre que um usuário acessar uma página contaminada. Essa transformação de estilo mXSS contorna a sanitização kses do WordPress porque o payload é armazenado usando apenas tags e atributos permitidos pelo kses; os manipuladores de eventos maliciosos e fragmentos de estilo tornam-se ativos somente quando o callback de buffer de saída do plugin reescreve o HTML renderizado no momento da solicitação.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.