CVE-2026-4334

Nome do Software Vulnerável e Versões Afetadas Shariff Wrapper versões anteriores a 4.6.21

Descrição A sanitização de entrada e a escape de saída insuficientes permitem que atacantes autenticados com nível de acesso de Colaborador ou superior realizem Stored Cross-Site Scripting. O problema reside no parâmetro headline do shortcode [shariff]. Isso ocorre porque o plugin utiliza uma implementação personalizada de wp kses com tags HTML permissivas e, posteriormente, executa uma operação str replace que injeta HTML após a sanitização. Essa sequência permite a introdução de manipuladores de eventos através do marcador %total no atributo de estilo, possibilitando a execução de scripts web arbitrários quando um usuário visita uma página afetada.

Recomendações Atualize o Shariff Wrapper para a versão 4.6.21 ou posterior. Evite usar o parâmetro headline no shortcode [shariff] até que a atualização seja aplicada.