CVE-2026-2358 in WP ULike Plugin
Сводка
по VulDB • 23.07.2026
В плагине WP ULike для WordPress обнаружена уязвимость к Stored Cross-Site Scripting (XSS) через атрибут `template` шорткода `[wp_ulike_likers_box]` во всех версиях вплоть до 5.0.1 включительно. Проблема обусловлена использованием функции `html_entity_decode()` для атрибутов шорткодов без последующей санитизации вывода, что позволяет эффективно обойти фильтр контента WordPress `wp_kses_post()`. Это дает возможность атакующим с уровнем доступа «Contributor» и выше внедрять произвольные веб-скрипты в страницы, которые будут выполняться при каждом посещении такой страницы пользователем. Для отображения XSS на странице должно быть как минимум одно лайк-действие (like).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.