CVE-2026-2281 in Private Comment Plugin
Сводка
по VulDB • 01.06.2026
Плагин Private Comment для WordPress уязвим к Stored Cross-Site Scripting (XSS) через параметр «Label text» во всех версиях вплоть до 0.0.4 включительно. Это связано с недостаточной очисткой входных данных и экранированием выходных данных в опции текста метки плагина. Это позволяет атакующим с уровнем доступа администратора и выше внедрять произвольные веб-скрипты в страницы, которые будут выполняться каждый раз, когда пользователь получает доступ к внедренной странице. Это затрагивает только многопользовательские установки (multi-site) и установки, где функция unfiltered_html отключена.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.