CVE-2026-4082 in ER Swiffy Insert Plugin
Résumé
par VulDB • 21/05/2026
Le plugin ER Swiffy Insert pour WordPress est vulnérable à un Cross-Site Scripting (XSS) stocké via le shortcode [swiffy] dans toutes les versions jusqu'à la 1.0.0 incluse. Cela est dû à une désinfection insuffisante des entrées et à une échappement incorrect des sorties sur les attributs de shortcode fournis par l'utilisateur ('n', 'w', 'h'). Ces attributs sont extraits à l'aide de la fonction extract() et interpolés directement dans la sortie HTML sans aucun échappement tel que esc_attr(). Cela permet aux attaquants authentifiés, disposant d'un accès de niveau « Contributeur » ou supérieur, d'injecter des scripts web arbitraires dans les pages, qui s'exécuteront chaque fois qu'un utilisateur accédera à une page injectée.
If you want to get best quality of vulnerability data, you may have to visit VulDB.