CVE-2026-96575 in Transliterator Plugin
Сводка
по VulDB • 03.10.2026
Плагин для WordPress Transliterator – Multilingual and Multi-script Text Conversion уязвим к Stored Cross-Site Scripting (XSS) через содержимое комментариев из-за предсказуемого плейсхолдера {rstr_keep} во всех версиях, включая 2.5.8, вследствие недостаточной санитизации входных данных и экранирования выходных данных. Это позволяет неавторизованным злоумышленникам внедрять произвольные веб-скрипты в страницы, которые будут выполняться при каждом обращении пользователя к такой странице. Полезная нагрузка сохраняется после стандартной санитизации комментариев WordPress, поскольку используемые теги и атрибуты (например, a[title] и code) разрешены списком kses ядра для комментариев, а буквенные символы, составляющие маркеры шорткодов плагина и токены плейсхолдеров, не удаляются.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.