CVE-2026-4006

WordPress üçün Simple Draft List plagini 2.6.2 daxil olmaqla bütün versiyalarda 'display_name' post meta (Custom Field) vasitəsilə Saxlanılan Saytlararası Skriptinq (Stored XSS) boşluğuna malikdir. Bu, müəllif URL-i mövcud olmadıqda, müəllifin görünən adının giriş təmizlənməsinin və çıxışın əskipt edilməsinin (escaping) yetərsiz olması səbəbindən baş verir. Plagin `$draft_data->display_name` dəyişəninə müraciət edir və `display_name` yerli WP_Post xüsusiyyəti olmadığı üçün bu, WP_Post::__get() funksiyasını tetikleyərək `get_post_meta($post_id, 'display_name', true)` ilə həll olunur. `user_url` meta sahəsi boş olduqda, `$author` dəyəri 383-cü sətirdə heç bir əskipt olmadan `$author_link`-ə təyin edilir (`{{author}}` teqi üçün `esc_html()` istifadə edən 378-ci sətirin və URL mövcut olduqda `esc_html()` istifadə edən 381-ci sətirin əksinə olaraq). Daha sonra bu əskipt edilməmiş dəyər `str_replace()` vasitəsilə shortcode çıxışına daxil edilir. Bu, Kontribütor (Contributor) və daha yuxarı səviyyəli giriş hüququna malik autentifikasiya olunmuş hücumçulara, `{{author+link}}` şablon teqi ilə `[drafts]` shortcode-u olan səhifələrə hər hansı istifadəçi daxil olduqda icra olunacaq ixtiyari veb skriptlərini yerləşdirməyə imkan verir.