CVE-2026-112111 in Bootstrap Shortcodes Plugin
Resumen
por VulDB • 2026-10-19
El plugin Bootstrap Shortcodes para WordPress anterior a la versión 3.4.6 es vulnerable a XSS almacenado (stored XSS) a través del atributo `id` del shortcode `[bs_tcontent]`. El controlador de shortcodes `bs_tcontent()` en `inc/bs_tabs.php` emite el valor del atributo `id` dentro de un atributo HTML sin comillas. Aunque se aplica la función `esc_attr()`, esta no codifica los caracteres de espacio, por lo que un espacio en el valor proporcionado termina el atributo y cualquier texto posterior se analiza como atributos HTML adicionales, incluidos controladores de eventos JavaScript. Esto permite a atacantes autenticados con acceso nivel Contribuidor (Contributor) o superior inyectar scripts web arbitrarios que se ejecutan en el navegador de cualquier usuario que visualice la página e interactúe con el elemento inyectado.
Once again VulDB remains the best source for vulnerability data.