5.1
Moyenne
CVE-2026-119054 Multiple Pages Generator by Themeisle before 4.2.5 Stored XSS via Shortcode base-url
Description
Multiple Pages Generator by Themeisle before 4.2.5 contains a stored cross-site scripting vulnerability that allows Contributor-level users to inject script via the [mpg] and [mpg_match] shortcode base-url attribute. Attackers can store entity-encoded payloads that pass kses but are decoded by html_entity_decode() and rendered unescaped through {{mpg_url}}, executing script in administrators' browsers.
Détail CVSS 4.0
Vecteur CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:P/VC:L/VI:L/VA:N/SC:L/SI:L/SA:NExploitable à distance par le réseau, avec un compte ordinaire et si un utilisateur effectue une action ; l’impact sur les données ou le service reste limité.
- Vecteur d’attaque
- Réseau
- Complexité
- Faible
- Prérequis d’attaque
- Aucun
- Privilèges requis
- Faibles
- Interaction
- Passive
- Confidentialité
- Faible
- Intégrité
- Faible
- Disponibilité
- Aucun
- Confidentialité des autres systèmes
- Faible
- Intégrité des autres systèmes
- Faible
- Disponibilité des autres systèmes
- Aucun
Produits et versions touchés
| Produit | Versions touchées | Corrigé en |
|---|---|---|
| Multiple Pages Generator by Themeisle 4.2 | premières → < 4.2.5 | 4.2.5 |