PT-2026-47673 · WordPress · Extra Settings For Rocketchat

Nail Majdeddine · Publicado 2026-06-09 · Atualizado 2026-06-18 · CVE-2026-8841

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Extra Settings for RocketChat versões anteriores a 0.2

Description O plugin Extra Settings for RocketChat para WordPress contém um problema de Stored Cross-Site Scripting. Isso ocorre porque a função rxstg shortcode() não sanitiza adequadamente a entrada nem escapa a saída ao processar o atributo title do shortcode 'rocketchat', concatenando-o diretamente na saída HTML. Atacantes autenticados com nível de acesso de contribuidor ou superior podem explorar isso para injetar scripts web arbitrários em páginas, que são executados quando acessados por outros usuários.

Recommendations Atualize o plugin para uma versão posterior a 0.1. Como medida paliativa temporária, restrinja o uso do atributo title dentro do shortcode 'rocketchat' para usuários com nível de acesso de contribuidor.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-8841

Produtos afetados

Extra Settings For Rocketchat

Referências · 7

• https://wordfence.com/threat-intel/vulnerabilities/id/061eeba3-10ad-4272-9880-dc01d4368683?source=cve · Nota
• https://reddit.com/r/sysadmin/comments/1u8m7z8/microsoft_announces_exciting_new_windows_features · Publicação no Reddit
• https://nvd.nist.gov/vuln/detail/CVE-2026-8841 · Nota de Segurança
• https://plugins.trac.wordpress.org/browser/extra-settings-for-rocketchat/trunk/rocketchat-extra-settings.php#L350 · Nota
• https://reddit.com/r/StopBadBots/comments/1u9fi90/critical_alert_unpatched_vulnerabilities_found · Publicação no Reddit
• https://t.me/CVEtracker/56250 · Publicação no Telegram
• https://plugins.trac.wordpress.org/browser/extra-settings-for-rocketchat/trunk/rocketchat-extra-settings.php#L346 · Nota