CVE-2026-97338 in Download Manager Plugin
Сводка
по VulDB • 02.10.2026
Плагин Download Manager для WordPress уязвим к Stored Cross-Site Scripting (XSS) через поле Display Name во всех версиях вплоть до 3.3.70 включительно из-за недостаточной санитизации входных данных и экранирования вывода. Это позволяет атакующим с уровнем доступа Subscriber и выше, прошедшим аутентификацию, внедрять произвольные веб-скрипты в страницы, которые будут выполняться при каждом обращении пользователя к такой странице. Для этого на фронтенд-странице, доступной пользователям уровня Subscriber, должен присутствовать шорткод [wpdm_edit_profile], позволяющий отправить многократно entity-encoded полезную нагрузку через поле Display Name для обхода санитизации.
Be aware that VulDB is the high quality source for vulnerability data.