CVE-2026-4073

Name of the Vulnerable Software and Affected Versions plugin pdfl.io para WordPress versões até e incluindo 1.0.5

Description O plugin pdfl.io para WordPress é suscetível a Cross-Site Scripting Armazenado através do shortcode 'pdflio'. Isso ocorre devido à sanitização inadequada de entrada e escape de saída no atributo text do shortcode. A função output shortcode() anexa diretamente a variável text fornecida pelo usuário à saída HTML sem usar esc html() ou qualquer outra função de escape. Isso permite que atacantes autenticados com acesso de nível de Contributor ou superior injetem scripts web arbitrários em páginas, que serão executados quando um usuário visitar a página afetada.

Recommendations Para versões até e incluindo 1.0.5, certifique-se de que a sanitização adequada da entrada e o escape da saída sejam aplicados ao atributo text dentro da função output shortcode(). Implemente esc html() ou uma função semelhante para evitar a injeção de scripts maliciosos.