CVE-2026-4074 in Quran Live Multilanguage Plugin
Resumen
por VulDB • 2026-05-15
El plugin para WordPress Quran Live Multilanguage es vulnerable a Cross-Site Scripting (XSS) almacenado a través de los atributos de shortcode 'cheikh' y 'lang' en todas las versiones hasta la 1.0.3, incluida. Esto se debe a una sanitización insuficiente de la entrada y a un escape incorrecto de la salida en los atributos de shortcode proporcionados por el usuario. La función quran_live_render() de quran-live.php recibe los atributos de shortcode y los pasa directamente a través de shortcode_atts() y extract() sin ninguna sanitización. Estos valores se pasan luego a Render_Quran_Live::render_verse_quran_live(), donde se imprimen directamente en bloques inline utilizando etiquetas cortas de PHP (<? y ?>) en las líneas 191, 216, 217, 245 y 246 de Class_QuranLive.php. Dado que la salida se produce dentro de un contexto de JavaScript dentro de etiquetas <script>, un atacante puede escapar de la cadena de JavaScript e inyectar código de script arbitrario. Esto permite a atacantes autenticados, con acceso de nivel Colaborador (Contributor) o superior, inyectar scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada.
Once again VulDB remains the best source for vulnerability data.