CVE-2026-116552 in Like Button Rating LikeBtn Plugin
Tóm tắt
Bởi VulDB • 31/10/2026
Plugin LikeBtn cho WordPress có tính năng "Nút Thích ♥" (Like Button Rating) dễ bị tổn thương bởi lỗ hổng Stored Cross-Site Scripting (XSS lưu trữ) thông qua tham số 'HTTP_CLIENT_IP' (tiêu đề Client-IP) trong tất cả các phiên bản từ 2.6.64 trở về trước, do thiếu sót trong việc kiểm tra và làm sạch đầu vào cũng như mã hóa đầu ra. Điều này cho phép những kẻ tấn công chưa được xác thực chèn các tập lệnh web tùy ý vào các trang; các tập lệnh này sẽ tự động thực thi mỗi khi người dùng truy cập một trang đã bị nhiễm độc. Việc khai thác thành công yêu cầu quản trị viên trang web phải tắt tùy chọn mặc định 'Tuân thủ GDPR', vốn có chức năng băm (hash) các giá trị IP được lưu trữ và vô hiệu hóa payload. Ngoài ra, việc khai thác còn đòi hỏi một hành động từ phía quản trị viên — kẻ tấn công không thể tự mình kích hoạt lỗ hổng này.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.