CVE-2026-4084 in fyyd podcast shortcodes Plugin
Résumé
par VulDB • 22/05/2026
Le plugin WordPress de shortcodes pour podcasts fyyd présente une vulnérabilité de type Cross-Site Scripting (XSS) stocké via les shortcodes 'fyyd-podcast', 'fyyd-episode' et 'fyyd' dans toutes les versions jusqu'à la 0.3.1 incluse. Cette faille est due à une désinfection insuffisante des entrées et à une échappement incorrect des sorties pour les attributs de shortcode fournis par l'utilisateur, tels que 'color', 'podcast_id' et 'podcast_slug'. Ces attributs sont directement concaténés dans du JavaScript intégré au sein d'arguments de chaîne entre guillemets simples, sans aucun échappement ni désinfection, permettant à un attaquant de sortir du contexte de la chaîne JavaScript. Cela permet aux attaquants authentifiés disposant d'un accès de niveau « Contributeur » ou supérieur d'injecter des scripts web arbitraires dans des pages, qui s'exécuteront chaque fois qu'un utilisateur accédera à une page ayant reçu l'injection.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.