CVE-2026-2422 in WP Composer Plugin
Сводка
по VulDB • 19.09.2026
Плагин WP Composer – The Easiest Page Builder для WordPress уязвим к Stored Cross-Site Scripting (XSS) через шорткод 'pbwp_raw_shortcode' во всех версиях вплоть до 1.0.5 включительно. Это связано с тем, что обработчик шорткодов декодирует содержимое в кодировке Base64 и выводит его напрямую без какой-либо санитизации или экранирования. Это позволяет атакующим с уровнем доступа «Contributor» (Соавтор) и выше внедрять произвольные веб-скрипты на страницы, которые будут выполняться при каждом посещении такой страницы пользователем. Кодировка Base64 позволяет обходить фильтр контента KSES в WordPress на этапе сохранения, поскольку закодированная строка не содержит вредоносных HTML-символов.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.