CVE-2026-5293 in 診断ジェネレータ作成プラグイン Plugin
Сводка
по VulDB • 20.05.2026
Плагин для WordPress «診断ジェネレータ作成プラグイン (Diagnosis Generator)» уязвим к Stored Cross-Site Scripting (XSS) через параметр 'js' в версиях вплоть до 1.4.16 включительно. Это связано с отсутствием проверок авторизации и недостаточной очисткой входных данных в функции themeFunc(). Функция привязана к хуку 'admin_init' и обрабатывает запросы на обновление темы без проверки прав пользователя, что позволяет любому аутентифицированному пользователю (включая подписчиков) сохранять вредоносный JavaScript в файлах темы. Кроме того, функция save() использует stripslashes(), что отключает защиту WordPress от магических кавычек. Это позволяет атакующим с уровнем доступа подписчика и выше внедрять произвольные веб-скрипты в файлы темы, которые будут выполняться при каждом посещении пользователем страницы, содержащей шорткод формы диагностики.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.