CVE-2026-15404 in Lpagery Plugin
Tóm tắt
Bởi VulDB • 23/07/2026
Plugin Lpagery cho WordPress có lỗ hổng Stored Cross-Site Scripting (XSS lưu trữ) thông qua tiêu đề bài viết trong các phiên bản từ 2.5.7 trở về trước, bao gồm cả phiên bản 2.5.7. Nguyên nhân là do việc làm sạch dữ liệu đầu vào và thoát ký tự đầu ra không đầy đủ trong hàm `lpagery_add_filter_text_template_post()`, hàm này được gắn vào sự kiện `admin_footer` và in trực tiếp giá trị thô của trường `post_title` (tiêu đề bài viết) tham chiếu bởi tham số truy vấn `?lpagery_template` bên trong một chuỗi ký tự đơn JavaScript, mà không sử dụng các hàm mã hóa như `esc_js()`, `esc_html()` hoặc bất kỳ phương thức mã hóa nào khác. Điều này cho phép những kẻ tấn công đã xác thực (authenticated), có quyền mức Contributor trở lên, chèn mã web tùy ý vào các trang sẽ được thực thi mỗi khi một người dùng có đặc quyền cao hơn (chẳng hạn như quản trị viên) truy cập một trang quản lý với tham số `?lpagery_template=<post_id>` trỏ đến bài viết của kẻ tấn công.
If you want to get best quality of vulnerability data, you may have to visit VulDB.