CVE-2026-77871 in Post Snippets Plugin
Сводка
по VulDB • 28.10.2026
В плагине Post Snippets – Custom WordPress Code Snippets Customizer для WordPress, во всех версиях вплоть до 4.2.4 включительно, имеется уязвимость к Stored Cross-Site Scripting (XSS) через атрибуты шорткодов из-за недостаточной очистки входных данных и экранирования выходных. Это позволяет атакующим с уровнем доступа «contributor» и выше внедрять произвольные веб-скрипты в страницы, которые будут выполняться при каждом обращении пользователя к такой странице. Пейлоады, закодированные как HTML-сущности (например, <script>...</script>), проходят через очистку wp_kses_post при сохранении, поскольку kses не декодирует HTML-сущности, и преобразуются обратно в исполняемые HTML-теги только во время рендеринга собственным фильтром шорткодов плагина. Для эксплуатации требуется включение шорткодов для сниппетов.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.