CVE-2025-4126

Nome do Software Vulnerável e Versões Afetadas: Plugin EG-Series para WordPress versões até, e incluindo, 2.1.1

Descrição: O problema está relacionado a Cross-Site Scripting Armazenado via o shortcode [series] do plugin, devido à sanitização de entrada e escape de saída insuficientes nos atributos fornecidos pelo usuário na função shortcode title. Isso permite que atacantes autenticados com acesso de nível de contribuidor ou superior injetem código JavaScript arbitrário no atributo titletag, que será executado sempre que um usuário acessar uma página injetada.

Recomendações: Para versões até, e incluindo, 2.1.1, considere desativar o shortcode [series] até que um patch esteja disponível para evitar a exploração. Restrinja o acesso à função shortcode title para minimizar o risco de injeção de código JavaScript arbitrário. Evite usar o atributo titletag no shortcode afetado até que o problema seja resolvido.