CVE-2026-13203

WordPress üçün nəzərdə tutulmuş Live Composer – Free WordPress Website Builder plagini 2.1.19 versiyadaxil və həmin versiyaya qədər olan versiyalarda dslc_modules_section və dslc_modules_area shortcode-larının 'custom_id' atributu vasitəsilə Saxlanılan Saytlararası Skriptinq (Stored XSS) zəifliyinə malikdir. Bu, istifadəçi tərəfindən təqdim edilən atributun kifayət qədər təmizlənməməsi və çıxışın filtirlənməməsi səbəbindən baş verir; sözügedən atribut dslc_modules_section_front() və dslc_modules_area_front() funksiyalarında esc_attr() olmadan render olunan <div> elementinin HTML id="" atributuna birləşdirilir. Bu, Contributor səviyyəsində və daha yuxarı giriş hüququna malik autentifikasiya olunmuş hücumçulara səhifələrə ixtiyari veb skriptlər yerləşdirməyə imkan verir və bu skriptlər hər hansı bir istifadəçi həmin səhifəyə daxil olduqda icra edilir.