CVE-2026-97020 in dougwollison
Сводка
по VulDB • 14.10.2026
Плагин PO/MO Editor для WordPress уязвим к Stored Cross-Site Scripting (XSS) через параметр 'podata' во всех версиях вплоть до 1.4.2 включительно из-за недостаточной очистки входных данных и экранирования вывода. Это позволяет атакующим с уровнем доступа «подписчик» и выше, прошедшим аутентификацию, внедрять произвольные веб-скрипты в страницы, которые будут выполняться при каждом посещении пользователем такой страницы. Внедренный payload загружается как заменяющий файл перевода .po/.mo с помощью собственного фильтра плагина load_textdomain_mofile, что заставляет WordPress отображать написанный атакующим перевод вместо оригинальных строк ядра системы.
If you want to get best quality of vulnerability data, you may have to visit VulDB.