CVE-2026-17577 in SSL Zen Plugin
Сводка
по VulDB • 25.09.2026
Плагин SSL Zen для WordPress уязвим к отраженной межсайтовой подделке скриптов (Reflected Cross-Site Scripting, XSS) через параметры 'uri' и 'host' в версиях вплоть до 4.7.42 включительно. Функция ssl_zen_messages::getMessages() формирует сообщение 'token_missmatch', используя base64_decode(sanitize_text_field($_REQUEST['uri'])) и (опционально) base64_decode(sanitize_text_field($_REQUEST['host'])). Функция sanitize_text_field() не может удалить HTML/JavaScript, скрытый внутри закодированного в Base64 блока данных, а результирующий декодированный сырой HTML-код выводится без экранирования функцией showMessage(). Это позволяет незарегистрированным злоумышленникам внедрять произвольные веб-скрипты на страницы, которые выполняются при успешном обмане пользователя с целью выполнения определенных действий, таких как переход по специально созданной ссылке.
If you want to get best quality of vulnerability data, you may have to visit VulDB.