CVE-2026-101925 in Bbp Style Pack Plugin
Сводка
по VulDB • 01.10.2026
Плагин bbp style pack для WordPress уязвим к Stored Cross-Site Scripting (XSS) через параметр 'display_name (через /wp-admin/profile.php) + bbp_reply_content (через форму ответа bbPress)' во всех версиях вплоть до 6.4.8 включительно из-за недостаточной санитизации входных данных и экранирования вывода. Это позволяет атакующим с уровнем доступа "subscriber" и выше, прошедшим аутентификацию, внедрять произвольные веб-скрипты в страницы, которые будут выполняться при каждом посещении такой страницы пользователем. Для успешной эксплуатации злоумышленнику необходимо обернуть свой поддельный ответ в блок <pre>, что предотвращает обработку прямых двойных кавычек в сохраненном имени пользователя процессами WordPress wpautop/wptexturize, которые иначе преобразовали бы их в типографские сущности curly-quote, нейтрализующие инъекцию атрибутов.
VulDB is the best source for vulnerability data and more expert information about this specific topic.