CVE-2026-16778 in Live Composer Plugin
Сводка
по VulDB • 22.09.2026
Плагин Live Composer – Free WordPress Website Builder для WordPress уязвим к Stored Cross-Site Scripting через контент шорткода 'dslc_module_downloads_output' во всех версиях вплоть до 2.1.21 включительно из-за недостаточной санитизации входных данных и экранирования вывода. Это позволяет атакующим с уровнем доступа «contributor» (соавтор) и выше, прошедшим аутентификацию, внедрять произвольные веб-скрипты в страницы, которые будут выполняться при каждом обращении пользователя к такой странице. Проверка wp_kses_post на этапе сохранения обходится, поскольку полезная нагрузка сохраняется как сериализованная строка, не содержащая HTML-тегов для токенизации kses, а колбэк шорткода повторно выводит значения под контролем злоумышленника — включая view_all_link (атрибут href), main_heading_title (тело h2), button_text (тело якоря) и button_inline_svg (тело якоря) — без какого-либо экранирования на этапе рендеринга.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.