CVE-2026-3998 in WM JqMath Plugin
Riassunto
di VulDB • 19/06/2026
Il plugin WM JqMath per WordPress è vulnerabile a Stored Cross-Site Scripting (XSS) tramite l'attributo 'style' dello shortcode [jqmath] in tutte le versioni fino alla 1.3 inclusa. Ciò è dovuto a una sanitizzazione insufficiente dell'input e a un mancata escape dell'output sugli attributi degli shortcode forniti dall'utente. La funzione generate_jqMathFormula() concatena direttamente il valore dell'attributo 'style' all'interno di un attributo HTML style senza applicare esc_attr() o qualsiasi altra forma di escaping. Ciò consente agli attaccanti autenticati, con accesso a livello Contributor e superiore, di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede alla pagina infetta.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.