CVE-2026-9635

Nome do Software Vulnerável e Versões Afetadas WP Shortcode by MyThemeShop versões anteriores a 1.4.18

Descrição Ocorre Cross-Site Scripting Armazenado quando invasores autenticados com nível de acesso de contribuidor ou superior injetam scripts web arbitrários em páginas. O problema decorre da sanitização de entrada e escape de saída insuficientes na função mts tabs(), que exibe o parâmetro title do shortcode [tab] diretamente no HTML entre tags de âncora. Cross-Site Scripting é uma técnica onde scripts maliciosos são injetados em sites confiáveis, sendo executados no navegador do usuário que visita a página afetada.

Recomendações Atualize o plugin para uma versão posterior a 1.4.17. Como medida de mitigação temporária, restrinja o uso do parâmetro title dentro do shortcode [tab] ou limite as permissões de usuário para evitar que contribuidores editem páginas que contenham este shortcode.