PT-2026-47637 · WordPress · Jquery Hover Footnotes

Nishida Azuka · Publicado 2026-06-09 · Atualizado 2026-06-09 · CVE-2026-10553

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas jQuery Hover Footnotes versões anteriores a 1.5

Description O plugin está sujeito a Cross-Site Request Forgery (CSRF), uma falha onde um invasor engana a vítima para realizar uma ação que ela não pretendia. Isso ocorre devido à validação de nonce ausente ou incorreta na função jqFootnotes options subpanel(). Atacantes não autenticados podem atualizar as configurações do plugin com valores arbitrários. Como as variáveis jqfoot anchor open, jqfoot anchor close e jqfoot title são persistidas via update option() sem sanitização e renderizadas sem escape no frontend, isso pode ser encadeado em Cross-Site Scripting (XSS) persistente, permitindo a execução de scripts maliciosos para todos os visitantes do site.

Recommendations Atualize para uma versão posterior a 1.4.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2026-10553

Produtos afetados

Jquery Hover Footnotes

Referências · 6

• https://plugins.trac.wordpress.org/browser/jquery-hover-footnotes/trunk/jqFootnotes.php#L57 · Nota
• https://plugins.trac.wordpress.org/browser/jquery-hover-footnotes/trunk/jqFootnotes.php#L56 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-10553 · Nota de Segurança
• https://t.me/cveNotify/166643 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/c174887b-e24d-4100-97da-8e0923ebafe5?source=cve · Nota
• https://plugins.trac.wordpress.org/browser/jquery-hover-footnotes/trunk/jqFootnotes.php#L159 · Nota