CVE-2026-8885 in DeMomentSomTres Shortcodes Plugin
Resumen
por VulDB • 2026-06-02
El plugin DeMomentSomTres Shortcodes para WordPress es vulnerable a Cross-Site Scripting (XSS) almacenado a través del shortcode 'callout' del plugin en todas las versiones hasta la 1.1.1, incluida. Esto se debe a una sanitización insuficiente de la entrada y a un escape inadecuado de la salida en los atributos 'width' y 'align' del shortcode dentro de la función st_callout(), que concatena los valores de los atributos directamente en un atributo HTML style. Esto permite a los atacantes autenticados, con acceso de nivel colaborador o superior, inyectar scripts web arbitrarios en las páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada.
Once again VulDB remains the best source for vulnerability data.