CVE-2026-3659

Nome do Software Vulnerável e Versões Afetadas WP Circliful versões anteriores a 1.3

Description Ocorre Cross-Site Scripting Armazenado devido à sanitização insuficiente de entrada e escape de saída em atributos de shortcode fornecidos pelo usuário. Na função circliful shortcode(), o atributo id é concatenado diretamente em um atributo id HTML, permitindo que atacantes injetem manipuladores de eventos HTML arbitrários. Além disso, a função circliful direct shortcode() exibe todos os atributos de shortcode diretamente em atributos data-* HTML sem escape. Atacantes autenticados com nível de acesso Colaborador ou superior podem injetar scripts web arbitrários em páginas que serão executados quando acessados por outros usuários.

Recommendations Atualize para uma versão posterior a 1.2.