CVE-2026-8886

Nome do Software Vulnerável e Versões Afetadas hk shortcode versões anteriores a 1.1

Description O plugin está sujeito a Stored Cross-Site Scripting (XSS), uma falha onde scripts maliciosos são armazenados permanentemente no servidor alvo. O problema reside na função huankong post short title plane() ao processar o shortcode 'title-plane'. Especificamente, o atributo title é concatenado diretamente na saída HTML sem a devida sanitização ou escape. Atacantes autenticados com nível de acesso de contribuidor ou superior podem explorar isso para injetar scripts web arbitrários em páginas, que serão executados no navegador de qualquer usuário que acessar a página afetada.

Recommendations Atualize para uma versão posterior a 1.0. Como mitigação temporária, restrinja o uso do shortcode 'title-plane' ou limite as permissões de usuário para evitar que contribuidores editem páginas que contenham shortcodes.