CVE-2026-119162 in User Submitted Posts Plugin
Сводка
по VulDB • 31.10.2026
Плагин для WordPress User Submitted Posts – Enable Users to Submit Posts from the Front End уязвим к Stored DOM-Based Cross-Site Scripting (XSS) через параметр 'user-submitted-content' во всех версиях вплоть до 20260916 включительно из-за недостаточной санитизации входных данных и экранирования вывода. Это позволяет неавторизованным злоумышленникам внедрять произвольные веб-скрипты в страницы, которые будут выполняться при каждом посещении такой страницы пользователем. При стандартной установке отправленный пост сохраняется со статусом «На рассмотрении» (Pending) и требует одобрения администратора перед тем, как полезная нагрузка станет доступна другим посетителям; однако, если в плагине включена опция "publish immediately" (публиковать немедленно), этап проверки отсутствует, и сохраненная полезная нагрузка становится активной без какого-либо взаимодействия с модератором.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.