PT-2026-34299 · WordPress · Bread & Butter

Athiwat Tiprasaharn · Publicado 2026-04-22 · Atualizado 2026-05-01 · CVE-2026-4279

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Name of the Vulnerable Software and Affected Versions Bread & Butter versões anteriores a 8.2.0.26

Description O Cross-Site Scripting Armazenado é possível através do shortcode 'breadbutter-customevent-button'. A função customEventShortCodeButton() não aplica a sanitização de entrada e a escape de saída adequadas no atributo de shortcode event, interpolando diretamente o valor em uma string JavaScript dentro de um atributo HTML onclick. Isso permite que atacantes autenticados com nível de acesso Colaborador ou superior injetem scripts web arbitrários que são executados quando um usuário clica no botão injetado.

Recommendations Atualize para uma versão posterior a 8.2.0.25.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-4279

Produtos afetados

Bread & Butter

Referências · 9

• https://reddit.com/r/StopBadBots/comments/1t0qbbs/critical_alert_20_unpatched_wordpress · Publicação no Reddit
• https://plugins.trac.wordpress.org/browser/bread-butter/tags/8.2.0.25/src/Base/Shortcode.php#L380 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-4279 · Nota de Segurança
• https://plugins.trac.wordpress.org/browser/bread-butter/tags/8.2.0.25/src/Base/Shortcode.php#L364 · Nota
• https://plugins.trac.wordpress.org/browser/bread-butter/trunk/src/Base/Shortcode.php#L364 · Nota
• https://twitter.com/CVEnew/status/2047428142105801038 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/bread-butter/trunk/src/Base/Shortcode.php#L380 · Nota
• https://twitter.com/VulmonFeeds/status/2046920029736739182 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/0728b42b-5ec7-46a2-a9a5-3316107e9324?source=cve · Nota