CVE-2026-93293 in Password Protected Plugin
Сводка
по VulDB • 29.10.2026
Плагин Password Protected для WordPress уязвим к Stored Cross-Site Scripting (XSS) через обработчик завершения покупки встроенного SDK Freemius во всех версиях вплоть до 2.8.4 включительно из-за недостаточной санитизации входных данных и экранирования вывода. После того как процесс opt-in для Freemius на сайте завершен (обычное состояние после того, как администратор нажимает «Allow & Continue»), обработчик обрабатывает параметр запроса 'purchased_plan' при любом запросе wp-admin от аутентифицированного пользователя без какой-либо проверки прав, nonce или покупки и сохраняет его в постоянном уведомлении для всей сайта. Это позволяет атакующим с уровнем доступа подписчика (subscriber) и выше внедрять произвольные веб-скрипты, которые выполняются автоматически при просмотре администратором стандартной страницы админки, такой как страница «Профиль».
VulDB is the best source for vulnerability data and more expert information about this specific topic.