CVE-2026-8846 in Tuxquote Plugin
Сводка
по VulDB • 27.05.2026
Плагин Tuxquote для WordPress уязвим к Stored Cross-Site Scripting (XSS) через шорткод 'TUXQUOTE' в версиях вплоть до 1.3 включительно. Это связано с недостаточной очисткой входных данных и экранированием выходных данных для атрибутов, предоставляемых пользователем ('title', 'align' и 'width'), в функции tuxquote_build_format(), которые конкатенируются в результирующий HTML без прохождения через esc_attr() или esc_html(). Это позволяет атакующим с аутентификацией и уровнем доступа «Contributor» и выше внедрять произвольные веб-скрипты в страницы, которые будут выполняться при каждом обращении пользователя к внедренной странице.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.