- Son 7 gün
- CWE-79
CVE-2026-118189
Posts Table with Search & Sort <= 1.4.14 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'date_format' Shortcode Attribute
- Yayımlandı
- Güncellendi
- 6 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- Wordfence
Özet
Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.
The Posts Table with Search & Sort plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'date_format' parameter in all versions up to, and including, 1.4.14 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The payload bypasses wp_kses_post at save time because it contains no literal angle bracket characters; the malicious HTML tags are only reconstructed at render time, making this exploitable by Contributors who would ordinarily lack the unfiltered_html capability.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| barn2media Posts Table with Search & Sort | ≤ 1.4.14 | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- wordfence.com/…lities/id/4ac45e56-606a-445f-84ec-349b68109065 Diğer
- plugins.trac.wordpress.org/…a-table/tags/1.4.14/src/Simple_Posts_Table.php Diğer
- plugins.trac.wordpress.org/…a-table/tags/1.4.14/src/Simple_Posts_Table.php Diğer
- plugins.trac.wordpress.org/…data-table/tags/1.4.14/src/Table_Shortcode.php Diğer
- plugins.trac.wordpress.org/…ts-data-table/trunk/src/Simple_Posts_Table.php Diğer
Kayıt geçmişi
- Yayımlandı