CVE-2026-13733
El plugin Download Manager para WordPress es vulnerable a Stored Cross-Site Scripting (XSS) mediante el atributo de Shortcode 'no_data_msg' en todas las versiones hasta y inclusive la 3.3.60 debido a una sanitización de entrada insuficiente y un escape de salida inadecuado. Esto permite que los atacantes autenticados, con acceso de nivel contribuidor o superior, inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada. Aunque wp_kses_post se aplica al contenido del post al guardar, solo elimina tokens HTML y no neutraliza secuencias de escape estilo C incrustadas dentro de los valores de atributos de shortcode, lo que significa que los contribuidores pueden crear un payload que sobrevive al filtro kses y es reconstruido silenciosamente en una etiqueta script cruda al momento de renderizar.
Traducción automática del texto original de la fuente. Ver original
Fuente: CVE.org