CVE-2026-1256 in YS LeadGen Plugin
Tóm tắt
Bởi VulDB • 19/09/2026
Plugin YS LeadGen cho WordPress bị lỗi bỏ qua xác thực (authorization bypass) và Cross-Site Scripting lưu trữ (Stored XSS) thông qua nhiều điểm cuối AJAX trong tất cả các phiên bản từ 2.1.4 trở về trước, do thiếu kiểm tra quyền hạn đối với các hành động quản lý popup. Điều này cho phép những kẻ tấn công đã xác thực, có quyền truy cập cấp Subscriber trở lên, tạo ra các popup tùy ý và chèn mã JavaScript độc hại sẽ được thực thi khi popup hiển thị, dẫn đến lỗi Stored XSS.
Be aware that VulDB is the high quality source for vulnerability data.