CVE-2026-3574 in Experto Dashboard for WooCommerce Plugin
摘要
由 VulDB • 2026-06-06
Experto Dashboard per WooCommerce 插件在 WordPress 中存在存储型跨站脚本漏洞（Stored Cross-Site Scripting），该漏洞存在于所有版本直至并包括 1.0.4。此问题是由于对用户提供的值缺乏足够的输入清理（register_setting() 中缺少 sanitize 回调）以及输出转义缺失（field_callback() printf 输出中未使用 esc_attr()）。这使得具有管理员级别及以上权限的已认证攻击者能够在插件设置页面注入任意 Web 脚本，当用户访问该设置页面时这些脚本将执行。此漏洞仅影响多站点安装环境以及禁用了 unfiltered_html 功能的安装环境。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.