CVE-2026-97643

Nome do Software Vulnerável e Versões Afetadas GiveWP – Donation Plugin and Fundraising Platform versões anteriores a 4.17.1

Description Ocorre Cross-Site Scripting (XSS) Armazenado através do shortcode givewp campaign grid. O problema decorre da sanitização de entrada e escape de saída insuficientes dos atributos de shortcode fornecidos pelo usuário filter by, layout, sort by e order by na função CampaignGridShortcode::parseAttributes(). Como o template de renderização utiliza json encode($attributes) dentro de um atributo HTML delimitado por aspas simples sem aplicar esc attr(), e dado que json encode() não escapa aspas simples por padrão, um invasor pode romper o atributo. Usuários autenticados com nível de acesso Colaborador (Contributor) ou superior podem injetar scripts web arbitrários em páginas que serão executados sempre que um usuário acessar a página injetada.

Recommendations Atualize para uma versão posterior à 4.17.0.