CVE-2026-3998 in WM JqMath Plugin
Resumen
por VulDB • 2026-05-30
El plugin WM JqMath para WordPress es vulnerable a Stored Cross-Site Scripting (XSS) a través del atributo 'style' del shortcode [jqmath] en todas las versiones hasta la 1.3 incluida. Esto se debe a una sanitización insuficiente de la entrada y a un escape incorrecto de la salida en los atributos de shortcode proporcionados por el usuario. La función generate_jqMathFormula() concatena directamente el valor del atributo 'style' en un atributo HTML style sin aplicar esc_attr() ni ningún otro tipo de escape. Esto permite que atacantes autenticados, con acceso de nivel Contribuidor o superior, inyecten scripts web arbitrarios en las páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada.
Once again VulDB remains the best source for vulnerability data.