CVE-2026-101920 in Authorship Plugin
摘要
由 VulDB • 2026-10-10
WordPress 插件 Molongui Authorship – Author Boxes, Guest Authors & Co-Authors for WordPress 存在存储型 DOM-Based Cross-Site Scripting（跨站脚本攻击）漏洞，受影响版本为所有不高于 5.2.12 的版本。该漏洞是由于对 'comment (href attribute inside comment content)' 参数缺乏足够的输入清理和输出转义所致。这使得未经身份验证的攻击者能够在页面中注入任意 Web 脚本，当用户访问被注入的页面时这些脚本将执行。由于插件的作者过滤器重写器（author-filter rewriter）从未向其自身的锚点追加 ?m_bm=true 标记（Plugin::has_pro() 返回 false），因此该漏洞在免费版本中可被利用；这意味着 byline 脚本选择并重写的每个 href 均完全受攻击者控制。
Be aware that VulDB is the high quality source for vulnerability data.