PT-2026-45710 · WordPress · Demomentsomtres Shortcodes

Zakaria · Publicado 2026-06-02 · Atualizado 2026-06-11 · CVE-2026-8885

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas DeMomentSomTres Shortcodes versões anteriores a 1.1.2

Description O plugin DeMomentSomTres Shortcodes para WordPress contém um problema de Cross-Site Scripting (XSS) Armazenado. Isso ocorre porque a função st callout() não sanitiza adequadamente a entrada nem escapa a saída para os atributos width e align do shortcode 'callout', concatenando esses valores diretamente em um atributo de estilo HTML. Atacantes autenticados com nível de acesso de contribuidor ou superior podem injetar scripts web arbitrários em páginas, que são executados quando um usuário visita a página afetada.

Recommendations Atualize para uma versão posterior a 1.1.1. Como medida paliativa temporária, restrinja o uso do shortcode 'callout' ou limite os atributos width e align até que a atualização seja aplicada.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-8885

Produtos afetados

Demomentsomtres Shortcodes

Referências · 8

• https://plugins.trac.wordpress.org/browser/demomentsomtres-shortcodes/trunk/demomentsomtres-shortcodes.php#L163 · Nota
• https://reddit.com/r/StopBadBots/comments/1u38lfq/25_unpatched_wordpress_plugins_remove_them_today · Publicação no Reddit
• https://twitter.com/VulmonFeeds/status/2061759593777143814 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/demomentsomtres-shortcodes/trunk/demomentsomtres-shortcodes.php#L173 · Nota
• https://t.me/CVEtracker/55576 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-8885 · Nota de Segurança
• https://wordfence.com/threat-intel/vulnerabilities/id/8f09f239-dd6e-4fc0-b656-f8c73b7e9022?source=cve · Nota
• https://twitter.com/atomicedgeWAF/status/2062040522571575748 · Publicação no Twitter