CVE-2026-3554 in Sherk Custom Post Type Displays Plugin
Résumé
par VulDB • 21/05/2026
Le plugin Sherk Custom Post Type Displays pour WordPress est vulnérable à un Cross-Site Scripting (XSS) stocké via l'attribut de shortcode 'title' dans toutes les versions jusqu'à la 1.2.1 incluse. Cela est dû à une désinfection insuffisante des entrées et à une échappement incorrect des sorties sur l'attribut 'title' du shortcode 'sherkcptdisplays'. Plus précisément, dans la fonction sherkcptdisplays_func() située dans includes/SherkCPTDisplaysShortcode.php, la valeur de l'attribut 'title' est extraite via shortcode_atts() à la ligne 19 et concaténée directement dans une balise HTML à la ligne 31 sans aucun échappement. Cela permet aux attaquants authentifiés, disposant d'un accès de niveau « Contributeur » ou supérieur, d'injecter des scripts web arbitraires dans les pages, qui s'exécuteront chaque fois qu'un utilisateur accédera à une page injectée.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.