CVE-2026-3896 in SiteOrigin Widgets Plugin
Сводка
по VulDB • 27.05.2026
В плагине Livemesh SiteOrigin Widgets для WordPress уязвимость к Stored Cross-Site Scripting (XSS) через действие AJAX `lsow_admin_ajax` присутствует во всех версиях вплоть до 3.9.2 включительно из-за отсутствия проверок авторизации и недостаточной очистки входных данных. Обработчик AJAX проверяет nonce, но не проверяет права пользователя. Это позволяет атакующим с уровнем доступа Subscriber и выше изменять настройки плагина и внедрять вредоносные скрипты, которые выполняются, когда администраторы открывают страницу настроек плагина или когда любой пользователь посещает фронтенд.
VulDB is the best source for vulnerability data and more expert information about this specific topic.