Outils de Hacking, PenTest et Cybersécurité pour votre Arsenal de Sécurité !

Kitploit est un répertoire d'outils de hacking, de cybersécurité et de pentesting. Découvrez les dernières mises à jour des projets pour trouver des vulnérabilités, analyser des systèmes, automatiser les tests et renforcer votre sécurité.

Répertoire d'outils

Catégories

Voir toutes les catégories

Loading categories

CVE-2026-88997 — JSM Show Post Metadata < 4.9.1 - XSS stocké via Contributor+ via la clé de métadonnées de champ personnalisé | Kitploit

Outils/

GitHub/pervinzahidli/cve-2026-88997

Analyse des Vulnérabilités Exploitation Sécurité Web Articles et Recherche

pervinzahidli/cve-2026-88997

CVE-2026-88997

JSM Show Post Metadata < 4.9.1 - XSS stocké via Contributor+ via la clé de métadonnées de champ personnalisé

Voir le dépôt

il y a 1 jour

Populaires

Voir tout →

Découvrez les outils les plus utilisés par notre communauté.

Explorer tous les outils

Parcourez notre collection d'outils

Voir tous les outils →

CVE-2026-88997

JSM Show Post Metadata < 4.9.1 — XSS stocké via la clé de méta d'un champ personnalisé, accessible aux contributeurs et au-delà

ID CVE	CVE-2026-88997
Statut	PUBLIÉ
CNA	WPScan
Publié	2026-09-23
Mis à jour	2026-09-23
CWE	CWE-79: Cross-Site Scripting (XSS)

Description

Le plugin WordPress JSM Show Post Metadata, dans les versions antérieures à la 4.9.1, n'échappe pas correctement une clé de méta de publication avant de l'insérer dans un attribut de gestionnaire d'événement en ligne au sein d'une méta-boîte destinée à l'administration. Cela permet aux utilisateurs disposant d'un accès de niveau contributeur ou supérieur d'injecter du JavaScript arbitraire qui s'exécute dans la session d'un utilisateur plus privilégié qui consulte la publication concernée (XSS stocké).

Produit affecté

Champ	Valeur
Éditeur	Inconnu
Produit	JSM Show Post Metadata
Versions affectées	de `0` avant `4.9.1`
Statut par défaut	non affecté
Corrigé dans	4.9.1

Type de vulnérabilité

Type : Cross-Site Scripting stocké (XSS)
Vecteur : clé de méta d'un champ personnalisé insérée sans échappement dans un attribut de gestionnaire d'événement en ligne
Privilège requis : Contributeur ou supérieur
Impact : exécution de JavaScript dans la session d'un utilisateur plus privilégié (par exemple un éditeur ou un administrateur consultant la publication)

Remédiation

Mettez à jour le plugin JSM Show Post Metadata vers la version 4.9.1 ou ultérieure.

Crédits

Découvreur : pervinzahidli
Coordinateur : WPScan

Références

Avis WPScan — exploit, entrée VDB, description technique

Source : WPScan (CNA) — Enregistrement CVE pour CVE-2026-88997

Télécharger l’outil