CVE-2026-97344 in Wp Social Login and Register Social Counter Plugin
Сводка
по VulDB • 03.10.2026
Плагин Wp Social Login и Register Social Counter для WordPress уязвим к Stored Cross-Site Scripting (XSS) через атрибут Alt аватара из-за произвольной записи метаданных пользователя во всех версиях вплоть до 3.2.1 включительно, что обусловлено недостаточной санитизацией входных данных и экранированием вывода. Это позволяет атакующим с уровнем доступа «подписчик» (subscriber) и выше внедрять произвольные веб-скрипты в страницы, которые будут выполняться при каждом посещении пользователем зараженной страницы. Для этого злоумышленнику необходимо выполнить два шага: вызвать конечную точку dismiss_ajax_call с проверкой только nonce (nonce доступен подписчикам через любую страницу wp-admin), чтобы установить флаг метаданных xs_social_profile_image для своей учетной записи, что активирует ветвь вывода img без экранирования в функции xs_social_get_avatar, а затем изменить свое отображаемое имя на payload со скриптом, который обработка ENT_NOQUOTES ядра сохраняет без экранирования.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.