CVE-2026-19796
WysokieCVSS 7.2Streszczenie
Wtyczka Listdom dla WordPressa do wersji 5.8.1 włącznie jest podatna na przechowywany atak XSS przez parametr 'lsd[displ][style]' z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wymaga aktywnego dodatku Listdom Pro i włączonej opcji 'Display Options Per Listing'.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwe skrypty, które wykonają się w przeglądarkach użytkowników, co może prowadzić do kradzieży sesji, przekierowań na złośliwe strony lub innych ataków.
Rekomendacja
Zaktualizuj wtyczkę do najnowszej wersji. Wyłącz opcję 'Display Options Per Listing', jeśli nie jest niezbędna, i rozważ użycie zapory aplikacji internetowej (WAF).
Inne podatności w Listdom
Zobacz wszystkieOryginalny opis (angielski, źródło NVD)
The Listdom: AI-powered Business Directory with Classifieds Ads Listings plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'lsd[displ][style]' Parameter in all versions up to, and including, 5.8.1 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Exploitation requires the Listdom Pro add-on to be active and the 'Display Options Per Listing' displ setting to be enabled, both of which are non-default configurations.