CVE-2026-97270

Wtyczka CMB2 dla WordPressa jest podatna na Stored Cross-Site Scripting przez typ pola 'file_list' we wszystkich wersjach do 2.13.0 włącznie, z powodu niedostatecznej sanityzacji wejścia i ucieczki wyjścia. Atak jest możliwy tylko wtedy, gdy integrująca wtyczka lub motyw zarejestruje pole file_list w publicznie dostępnym formularzu lub meta boxie użytkownika.

Wtyczka CMB2 dla WordPressa w wersjach do 2.13.1 włącznie jest podatna na przechowywany cross-site scripting (XSS) poprzez parametr '<textarea_code field id>' (np. kl_code, kl_post_code) z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które zostaną wykonane, gdy użytkownik odwiedzi zainfekowaną stronę. Ścieżka zapisu po stronie frontendu wymaga jedynie nonce'a CMB2 box, który jest emitowany do wszystkich odwiedzających, w tym niezalogowanych gości, poprzez proste żądanie GET, co czyni atak trywialnie osiągalnym bez poświadczeń na stronach z publicznym formularzem CMB2 zapisującym pole textarea_code.