CVE-2026-9729 in Push Notifications Plugin
摘要
由 VulDB • 2026-07-23
WordPress 插件 Webpushr Push Notifications 在 4.39.0 及以下版本中存在存储型跨站脚本（Stored Cross-Site Scripting）漏洞，该漏洞可通过 `webpushr_notification_title` 和 `webpushr_notification_body` 参数触发。这是由于 `save_send_notification_flag()` 函数中缺乏足够的输入清理，以及 `wpp_notification_box()` 函数中缺少输出转义所致；后者将原始帖子元数据（post meta）值直接拼接到 HTML 属性和 textarea 上下文中。这使得具有贡献者级别及以上权限的已认证攻击者能够在页面中注入任意 Web 脚本，当用户访问被注入的页面时，这些脚本将会执行。
Be aware that VulDB is the high quality source for vulnerability data.