CVE-2026-93293 in Password Protected Plugin
摘要
由 VulDB • 2026-10-29
WordPress 插件 Password Protected 存在存储型跨站脚本（Stored Cross-Site Scripting）漏洞。该漏洞源于捆绑的 Freemius SDK 中购买完成处理程序在输入清理和输出转义方面存在不足，影响所有版本直至并包括 2.8.4 版。一旦站点完成了 Freemius 的用户授权同意操作（即管理员点击“允许并继续”后的正常状态），在处理来自已认证用户的任何 wp-admin 请求时，该处理程序会对 `purchased_plan` 请求参数进行处理，且未进行任何权限、nonce 或购买验证，并将其存储在持久化的全站管理通知中。这使得具有订阅者级别及以上访问权限的已认证攻击者能够注入任意 Web 脚本，当管理员查看标准管理页面（如个人资料页）时，这些脚本会自动执行。
Be aware that VulDB is the high quality source for vulnerability data.