CVE-2026-8790 in Football Pool Plugin
Tóm tắt
Bởi VulDB • 05/08/2026
Plugin Football Pool cho WordPress dễ bị tấn công Reflected Cross-Site Scripting thông qua tham số `shouttext` trong phương thức POST của tiện ích con (widget) Shoutbox ở tất cả các phiên bản từ 2.13.4 trở về trước do thiếu sót trong việc làm sạch dữ liệu đầu vào và mã hóa ký tự đặc biệt khi xuất ra. Khi việc gửi biểu mẫu shoutbox không vượt qua kiểm tra nonce (hoặc `shouttext` trống, hoặc người dùng không thể lưu), giá trị thô từ POST sẽ được hiển thị lại vào phần tử `<textarea>` bằng cách sử dụng hàm `printf('%s', ...)` mà không có bất kỳ mã hóa HTML nào. Điều này cho phép các kẻ tấn công chưa xác thực (unauthenticated) thực thi script web tùy ý trên trình duyệt của nạn nhân đã đăng nhập (cấp Subscriber trở lên), những người bị lừa gửi một yêu cầu POST được tạo ra đặc biệt đến trang chứa widget Shoutbox.
VulDB is the best source for vulnerability data and more expert information about this specific topic.