CVE-2026-8894

Nome do Software Vulnerável e Versões Afetadas iWR Tooltip versões anteriores a 1.1

Description O plugin contém um problema de Stored Cross-Site Scripting no shortcode iwrtooltip. A função iwr tooltip() não sanitiza adequadamente a entrada nem escapa a saída de atributos fornecidos pelo usuário. Especificamente, o atributo title é concatenado diretamente em um atributo HTML sem o uso de esc attr() ou outros métodos de escape. Isso permite que atacantes autenticados com nível de acesso de contribuidor ou superior injetem scripts web arbitrários em páginas, que são executados quando um usuário visita a página afetada.

Recommendations Atualize o plugin para uma versão posterior a 1.0. Como mitigação temporária, restrinja a capacidade de usuários com nível de acesso de contribuidor de editar páginas ou usar o shortcode iwrtooltip.