Aller au contenu
Se connecter
6.4 Moyenne

CVE-2026-116562 Motors <= 1.4.128 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Taxonomy Term Name via 'stm_f_s' Parameter

Description

The Motors – Car Dealership & Classified Listings Plugin plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'stm_f_s[make]' parameter in all versions up to, and including, 1.4.128 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This requires the Free Listing Submission feature to be enabled, which is shipped on by default via the Setup Wizard demo configuration.

Détail CVSS 3.1

Vecteur CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Exploitable à distance par le réseau, avec un compte ordinaire et sans action d’un utilisateur ; l’impact sur les données ou le service reste limité.

Vecteur d’attaque
Réseau
Complexité
Faible
Privilèges requis
Faibles
Interaction
Aucune
Portée
Modifiée
Confidentialité
Faible
Intégrité
Faible
Disponibilité
Aucun

Produits et versions touchés

Produit Versions touchées Corrigé en
Motors – Car Dealership & Classified Listings Plugin 1.4 premières → 1.4.128 Pas de correctif indiqué

Autres CVE de Motors – Car Dealership & Classified Listings Plugin

Les 17 CVE de Motors – Car Dealership & Classified Listings Plugin →
CVE-2026-104746 Motors <= 1.4.125 - Authenticated (Subscriber+) Arbitrary File Deletion via 'stm_user_avatar_path' User Meta 8.1 Élevée CVE-2026-116617 Motors <= 1.4.128 - Authenticated (Subscriber+) File Deletion via 'stm_dealer_logo_path' Parameter 8.1 Élevée CVE-2026-96563 The Motors – Car Dealership & Classified Listings Plugin plugin for WordPress is vulnerable to Stored Cross-Site… 6.4 Moyenne CVE-2026-6806 The Motors – Car Dealership & Classified Listings Plugin plugin for WordPress is vulnerable to time-based blind SQL… 7.5 Élevée
Suivre cette CVE