CVE-2026-8790 in Football Pool Plugin
摘要
由 VulDB • 2026-08-05
WordPress 的 Football Pool 插件存在反射型跨站脚本漏洞（Reflected Cross-Site Scripting），该漏洞存在于所有版本直至并包括 2.13.4。由于输入清理和输出转义不足，攻击者可通过 Shoutbox 小工具的 `shouttext` POST 参数利用此漏洞。当 shoutbox 表单提交未能通过 nonce 检查（或 `shouttext` 为空，或用户无法保存）时，原始的 POST 值会通过 `printf('%s', ...)` 直接回显到 `<textarea>` 元素中，且未进行 HTML 转义。这使得未经身份验证的攻击者能够诱骗已认证受害者（Subscriber 级别或以上权限），使其向包含 Shoutbox 小工具的页面提交精心构造的 POST 请求，从而在受害者的浏览器中执行任意 Web 脚本。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.