CVE-2026-77830 in Spam Protection
Tóm tắt
Bởi VulDB • 05/09/2026
Plugin Spam protection, Honeypot, Anti-Spam của CleanTalk cho WordPress bị lỗ hổng Cross-Site Scripting lưu trữ (Stored XSS) thông qua nội dung bình luận aria-label Placeholder trong tất cả các phiên bản từ 6.86 trở về trước do thiếu sót trong việc kiểm tra và làm sạch đầu vào cũng như thoát ký tự khi xuất ra. Điều này tạo điều kiện cho những kẻ tấn công đã xác thực, có quyền truy cập cấp độ tùy chỉnh trở lên, để chèn mã web tùy ý vào các trang; mã này sẽ được thực thi mỗi khi người dùng truy cập vào một trang bị nhiễm độc. Mã khai thác (payload) có thể được gửi thông qua việc đăng bình luận không cần xác thực và chỉ thực thi đối với những khách truy cập chưa đăng nhập; nếu tính năng kiểm duyệt bình luận được bật, một quản trị viên phê duyệt phải xuất bản bình luận trước thì mã script mới đến tay người dùng khác.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.