CVE-2026-9148
El plugin Comments – wpDiscuz para WordPress es vulnerable a Stored Cross-Site Scripting (XSS) a través del campo 'Website' del comentarista invitado en versiones hasta y inclusive 7.6.56. Esto se debe a la falta de escape adecuado en la función getCommentAuthor(), que interpola directamente el valor almacenado de comment_author_url en atributos HTML entre comillas simples sin aplicar esc_url() o esc_attr(). Esto permite a los atacantes no autenticados inyectar scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada.
Traducción automática del texto original de la fuente. Ver original
Fuente: CVE.org