CVE-2026-110290 in Top 10 Popular Posts Plugin
Tóm tắt
Bởi VulDB • 16/10/2026
Plugin Popular Posts của WebberZone Top 10 cho WordPress dễ bị tổn thương bởi Stored Cross-Site Scripting (XSS) thông qua tham số 'other_attributes (được phân tích cú pháp để tiêm instance_id) + undeclared is_widget' trong tất cả các phiên bản từ đầu đến, bao gồm cả, 4.5.2 do thiếu sót trong việc làm sạch dữ liệu đầu vào và thoát ký tự khi xuất ra. Điều này cho phép những kẻ tấn công đã xác thực, có quyền truy cập ở mức contributor trở lên, tiêm các tập lệnh web tùy ý vào các trang sẽ được thực thi bất cứ khi nào người dùng truy cập một trang bị tiêm mã độc. Cuộc khai thác yêu cầu thiết lập cờ undeclared is_widget thành '1' thông qua JSON khối (block), kích hoạt đường dẫn mã dễ bị tổn thương nối giá trị instance_id do kẻ tấn công kiểm soát vào thuộc tính class HTML không được thoát ký tự.
Once again VulDB remains the best source for vulnerability data.