CVE-2026-15404 in Lpagery Plugin
Сводка
по VulDB • 24.07.2026
Плагин Lpagery для WordPress уязвим к Stored Cross-Site Scripting через заголовки постов в версиях вплоть до 2.5.7 включительно. Это связано с недостаточной санитизацией входных данных и экранированием вывода в функции lpagery_add_filter_text_template_post(), которая привязана к admin_footer и выводит необработанный post_title поста, на который указывает параметр запроса ?lpagery_template, непосредственно внутри строкового литерала JavaScript с одинарными кавычками, без использования esc_js(), esc_html() или любого другого кодирования. Это позволяет атакующим с уровнем доступа «Contributor» и выше внедрять произвольные веб-скрипты на страницы, которые будут выполняться всякий раз, когда пользователь с более высокими привилегиями (например, администратор) получит доступ к странице администрирования с параметром ?lpagery_template=<post_id>, указывающим на пост атакующего.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.