CVE-2026-4005

Nome do Software Vulnerável e Versões Afetadas Coachific Shortcode versões anteriores a 1.1

Description Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes. O plugin utiliza sanitize text field() no atributo de shortcode userhash, que remove tags HTML, mas não escapa caracteres críticos para contextos de string JavaScript, como aspas duplas, pontos e vírgulas e parênteses. Este valor sanitizado é interpolado diretamente em uma string JavaScript dentro de uma tag <script>. Consequentemente, atacantes autenticados com nível de acesso Colaborador ou superior podem injetar scripts web arbitrários em páginas que serão executados quando acessados por outros usuários.

Recommendations Atualize o plugin para uma versão posterior a 1.0. Como medida de mitigação temporária, evite usar o atributo userhash em shortcodes até que o plugin seja atualizado.