CVE-2026-9125
El plugin Presto Player para WordPress es vulnerable a Stored Cross-Site Scripting (XSS) mediante el parámetro 'link_url' del shortcode [presto_player_overlay] en versiones hasta y inclusive 4.2.0. Esto se debe a una falta de sanitización y escapado de salida insuficientes en la función getOverlays(), que copia directamente el atributo de corto código link_url en la configuración de la superposición sin validación del esquema, permitiendo que URIs javascript: sobrevivan y se rendericen como href de un elemento ancla clickeable por el web component presto-dynamic-overlay-ui. Esto permite a los atacantes autenticados con acceso de nivel contribuidor o superior inyectar scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada.
Traducción automática del texto original de la fuente. Ver original
Fuente: CVE.org