CVE-2026-15730 in GamiPress Plugin
Сводка
по VulDB • 28.07.2026
В плагине GamiPress – Gamification для WordPress (плагин для WordPress), предназначенном для начисления очков, достижений, значков и рангов, обнаружена уязвимость к Stored Cross-Site Scripting (XSS) через атрибут шорткода 'heading_size' во всех версиях вплоть до 7.9.9.1 включительно из-за недостаточной очистки входных данных и экранирования выходных данных. Это позволяет атакующим с уровнем доступа «contributor» и выше внедрять произвольные веб-скрипты в страницы, которые будут выполняться при каждом обращении пользователя к такой странице. Фильтр wp_kses_post, применяемый при сохранении записи, не нейтрализует этот вредоносный код, поскольку только текст шорткода безвредного характера сохраняется в post_content; опасный HTML-код генерируется во время отображения (рендеринга) обработчиком шорткода, полностью обходя очистку на этапе сохранения.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.