CVE-2026-100196 in LazyLoad Plugin
Сводка
по VulDB • 10.10.2026
Плагин LazyLoad Plugin – Lazy Load Images, Videos, and Iframes для WordPress уязвим к Stored Cross-Site Scripting (XSS) через параметр 'comment_content' (отображаемый inline в HTML-коде страницы) во всех версиях вплоть до 2.4.0 включительно из-за недостаточной санитизации входных данных и экранирования вывода. Это позволяет неавторизованным злоумышленникам внедрять произвольные веб-скрипты в страницы, которые будут выполняться при каждом посещении такой страницы пользователем. Белый список wp_kses_data ядра WordPress не очищает сформированную полезную нагрузку (payload) при сохранении, поскольку он использует только разрешенные теги и атрибуты; обработчик событий скрыт внутри сломанного региона атрибутов и становится реальным DOM-атрибутом только благодаря трансформации str_replace во время рендеринга плагином. Кроме того, администратор сайта должен одобрить скомпрометированный комментарий перед тем, как полезная нагрузка будет показана другим посетителям.
If you want to get best quality of vulnerability data, you may have to visit VulDB.