CVE-2026-8846

Nome do Software Vulnerável e Versões Afetadas Tuxquote versões anteriores a 1.4

Description O plugin Tuxquote para WordPress contém um problema de Stored Cross-Site Scripting. Isso ocorre porque a função tuxquote build format() não sanitiza nem escapa adequadamente os atributos fornecidos pelo usuário title, align e width utilizados no shortcode 'TUXQUOTE'. Esses atributos são concatenados diretamente no HTML renderizado sem passarem por esc attr() ou esc html(). Consequentemente, invasores autenticados com nível de acesso de Colaborador ou superior podem injetar scripts web arbitrários em páginas, que serão executados sempre que um usuário acessar a página afetada.

Recommendations Atualize o plugin para uma versão posterior a 1.3. Como medida de mitigação temporária, restrinja a capacidade de usuários com nível de acesso de Colaborador de utilizar o shortcode 'TUXQUOTE'.