CVE-2026-10077
Đã công bốYOOtheme Pro < 5.0.35 - Author+ Stored XSS via UIkit Data Attributes
Chủ đề yootheme cho WordPress trước 5.0.35 không ngăn chặn khung giao diện trước-end được bundled không xem xét một số thuộc tính HTML, được cho phép bởi wp_kses_post(), như markup. Điều này cho phép người dùng với vai trò Author thực hiện các cuộc tấn công Cross-Site Scripting (XSS) được lưu trữ, khiến mã JavaScript được thực thi trong trình duyệt của bất kỳ người dùng nào xem bài viết bị ảnh hưởng.
- CNA cấp mã
- WPScan
- Ngày công bố
- 02/07/2026
- Cập nhật
- 02/07/2026
- CVSS (NVD)
- 6.8 · MEDIUM
- Loại lỗi (CWE)
- CWE-79 Cross-Site Scripting (XSS)
- EPSS (FIRST)
- 0.43% khả năng bị khai thác trong 30 ngày
Sản phẩm bị ảnh hưởng
- Unknown yootheme — 0 → < 5.0.35
Tham chiếu (1)
- https://wpscan.com/vulnerability/89877758-50f1-4a4b-a622-e417571a5b14/ [exploit, vdb-entry, technical-description]
Tin tức liên quan trên HueCA-CYBER (1)
- 270 lỗ hổng trong Plugins và Themes WordPress được khai thác · Wordfence · 29/10/2026