CVE-2026-112111 in Bootstrap Shortcodes Plugin
요약
\~에 의해 VulDB • 2026. 10. 19.
WordPress용 Bootstrap Shortcodes 플러그인 3.4.6 이전 버전은 [bs_tcontent] 단축어의 id 속성을 통해 저장형 XSS(Stored XSS) 취약점에 노출되어 있습니다. inc/bs_tabs.php에 있는 bs_tcontent() 단축어 핸들러는 id 속성 값을 따옴표로 감싸지 않은 HTML 속성에 출력합니다. esc_attr() 함수가 적용되지만 공백 문자를 인코딩하지 않으므로, 제공된 값의 공백이 속성을 종료시키고 그 이후의 텍스트는 JavaScript 이벤트 핸들러를 포함한 추가적인 HTML 속성으로 파싱됩니다. 이로써 기여자(Contributor) 레벨 이상의 권한을 가진 공격자는 임의의 웹 스크립트를 주입할 수 있으며, 해당 페이지를 보고 주입된 요소와 상호작용하는 모든 사용자의 브라우저에서 이 스크립트가 실행될 수 있습니다.
Once again VulDB remains the best source for vulnerability data.