Patterns Kit <=1.0.3 Stored XSS Vulnerability (CVE-2026-15249)

漏洞概述 漏洞名称: Patterns Kit <= 1.0.3 - Contributor+ Stored XSS via YouTube Popup Link 漏洞类型: 存储型跨站脚本攻击 (Stored XSS) 漏洞描述: 插件在将链接属性插入页面之前未进行转义，允许低权限用户（如Contributor）存储一个在浏览器中执行的payload，当其他用户查看内容并点击受影响的元素时，payload会被执行。 CVE编号: CVE-2026-15249 CVSS评分: 6.8 (medium) 影响范围 受影响插件: Patterns Kit 受影响版本: <= 1.0.3 修复方案 当前状态: 暂无已知修复方案 PoC展示时间: 2026年8月24日，给用户时间更新 其他信息 原始研究员: testoun 提交者: testoun 验证状态: 已验证 WPVDB ID: ad42fc34-5d7e-4fb9-98fc-b9e80b552535 发布时间线: - 公开发布: 2026-08-10 - 添加: 2026-08-10 - 最后更新: 2026-08-10 参考链接 CVE: CVE-2026-15249 分类 类型: XSS OWASP Top 10: A7: Cross-Site Scripting (XSS) CWE: CWE-79 其他相关漏洞 Happy Addons for Elementor < 3.10.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via Archive Title Widget The Permalinker < 1.9.0 - Contributor+ Stored XSS Yumpu E-Paper publishing < 3.0.9 - Authenticated (Contributor+) Stored Cross-Site Scripting MyCurator Content Curation < 3.79 - Authenticated (Editor+) Stored Cross-Site Scripting Xagio SEO < 71.0.17 - Unauthenticated Stored Cross-Site Scripting via 'HTTP_REFERER' 总结 该漏洞是一个存储型跨站脚本攻击，影响Patterns Kit插件的1.0.3及以下版本。由于插件未正确转义链接属性，低权限用户可以存储恶意脚本，当其他用户点击受影响的元素时，脚本会在浏览器中执行。目前暂无已知修复方案，建议用户尽快更新插件或采取其他安全措施。PoC将在2026年8月24日展示，给用户时间进行更新。

目標達成すべての支援者に感謝 — 100%達成しました！

Patterns Kit <=1.0.3 Stored XSS Vulnerability (CVE-2026-15249)

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

Patterns Kit <=1.0.3 Stored XSS Vulnerability (CVE-2026-15249)

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！