CVE-2026-3995 in OPEN-BRAIN Plugin
Resumen
por VulDB • 2026-05-21
El plugin OPEN-BRAIN para WordPress es vulnerable a Stored Cross-Site Scripting (XSS) a través del campo de configuración 'API Key' en todas las versiones hasta la 0.5.0, incluida. Esto se debe a una sanitización insuficiente de la entrada y a un escape inadecuado de la salida. El plugin utiliza sanitize_text_field(), que elimina las etiquetas HTML pero no codifica las comillas dobles ni otros caracteres especiales de HTML necesarios para una salida segura en el contexto de atributos. El valor de la clave API se guarda mediante update_option() y posteriormente se muestra en el atributo value de un elemento de entrada HTML sin aplicar el escape correspondiente con esc_attr(). Esto permite a los atacantes autenticados, con acceso a nivel de Administrador, inyectar scripts web arbitrarios mediante payloads de ruptura de atributos (por ejemplo, comillas dobles seguidas de manejadores de eventos) que se ejecutan cada vez que un usuario accede a la página de configuración del plugin.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.