CVE-2026-90992 in Redux Framework Plugin
Сводка
по VulDB • 01.10.2026
Плагин Redux Framework для WordPress уязвим к Stored Cross-Site Scripting через слияние User Meta посредством поля Media Field 'user-mediaurl' во всех версиях вплоть до 4.5.14 включительно из-за недостаточной санитизации входных данных и экранирования вывода. Это позволяет атакующим, имеющим уровень доступа Subscriber или выше, внедрять произвольные веб-скрипты в страницы, которые будут выполняться при каждом обращении пользователя к такой странице. Эксплуатация уязвимости возможна для пользователей с уровнем доступа Subscriber, способных сохранить полезную нагрузку (payload) в полях user meta, таких как биография, session_tokens (через поддельный User-Agent при входе в систему) или persisted_preferences (через REST API), которые затем повышаются до опции redux_demo на уровне всего сайта при запуске процесса восстановления URL медиафайла на демо-панели.
Be aware that VulDB is the high quality source for vulnerability data.