CVE-2026-3995

Name of the Vulnerable Software and Affected Versions OPEN-BRAIN plugin for WordPress versões anteriores a 0.5.1

Description Ocorre Cross-Site Scripting Armazenado através do campo de configurações 'API Key' devido à sanitização de entrada e escape de saída insuficientes. O plugin utiliza a função sanitize text field(), que remove tags HTML, mas não codifica aspas duplas ou outros caracteres especiais de HTML necessários para a saída segura em contexto de atributo. O valor da chave de API é salvo via update option() e posteriormente exibido no atributo de valor de um elemento de entrada HTML sem o escape esc attr(). Isso permite que atacantes autenticados, com acesso de nível Administrador, injetem scripts web arbitrários por meio de payloads de quebra de atributo (por exemplo, aspas duplas seguidas de manipuladores de eventos) que são executados sempre que um usuário acessa a página de configurações do plugin.

Recommendations Atualize o plugin para uma versão posterior a 0.5.0. Como medida paliativa temporária, evite inserir caracteres especiais ou aspas duplas no campo de configurações 'API Key'.