GamiPress <=7.9.9.1 Authenticated Stored XSS via Shortcode (CVE-2026-16090)

漏洞概述 漏洞名称: GamiPress <= 7.9.9.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via gamipress_achievement Shortcode CVE ID: CVE-2026-16090 CVSS评分: 6.4 (Medium) 发布日期: July 31, 2026 最后更新日期: August 1, 2026 研究人员: Wordfence PRISM - Wordfence 影响范围 软件类型: Plugin 软件名称: GamiPress 受影响版本: <= 7.9.9.1 修复版本: 7.9.9.2 或更高版本 修复方案 修复版本: 升级到 GamiPress 7.9.9.2 或更高版本 漏洞描述 GamiPress 是一个用于 WordPress 的 gamification 插件，允许用户通过奖励点数、成就、徽章和排名来增强用户体验。该漏洞存在于 短代码中，由于输入 sanitization 和输出 escaping 不足，导致经过身份验证的攻击者（贡献者及以上权限）可以在页面中注入任意脚本。 参考链接 plugins.trac.wordpress.org plugins.trac.wordpress.org 其他信息 最近发现的漏洞: - GamiPress <= 7.9.9.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode - GamiPress <= 7.9.9.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode Attribute - GamiPress <= 7.9.7 - Unauthenticated SQL Injection - GamiPress <= 7.9.4 - Insecure Direct Object Reference to Unauthenticated, Sensitive Information Disclosure via Parameter - GamiPress <= 7.8.7 - Authenticated (Subscriber+) SQL Injection - GamiPress <= 7.6.6 - Cross-Site Request Forgery - GamiPress <= 7.6.1 - Missing Authorization to Authenticated (Subscriber+) Information Exposure - GamiPress <= 7.4.5 - Authenticated (Administrator+) SQL Injection - GamiPress <= 7.3.7 - Authenticated (Contributor+) Local File Inclusion 总结 GamiPress 插件在版本 7.9.9.1 及以下存在存储型跨站脚本漏洞，建议用户尽快升级到 7.9.9.2 或更高版本以修复此漏洞。

目標達成すべての支援者に感謝 — 100%達成しました！

GamiPress <=7.9.9.1 Authenticated Stored XSS via Shortcode (CVE-2026-16090)

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

GamiPress <=7.9.9.1 Authenticated Stored XSS via Shortcode (CVE-2026-16090)

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！