CVE-2026-4006

Il plugin Simple Draft List per WordPress è vulnerabile a Stored Cross-Site Scripting tramite il meta campo 'display_name' dei post (Custom Field) in tutte le versioni fino alla 2.6.2 inclusa. Ciò è dovuto a un'errata sanitizzazione dell'input e a una mancanza di escaping dell'output sul nome visualizzato dell'autore quando non è presente un URL dell'autore. Il plugin accede a `$draft_data->display_name` che, poiché `display_name` non è una proprietà nativa di WP_Post, attiva WP_Post::__get() e si risolve in `get_post_meta($post_id, 'display_name', true)`. Quando il campo meta `user_url` è vuoto, il valore `$author` viene assegnato a `$author_link` alla riga 383 senza alcun escaping (a differenza della riga 378, che utilizza `esc_html()` per il tag `{{author}}`, e della riga 381, che utilizza `esc_html()` quando è presente un URL). Questo valore non escapato viene poi inserito nell'output dello shortcode tramite `str_replace()`. Ciò consente a malintenzionati autenticati, con accesso di livello Contributor o superiore, di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede a una pagina contenente lo shortcode `[drafts]` con il tag template `{{author+link}}`.