CVE-2026-112111 in Bootstrap Shortcodes Plugin
Sumário
de VulDB • 19/10/2026
O plugin Bootstrap Shortcodes para WordPress anterior à versão 3.4.6 é vulnerável a XSS armazenado (stored XSS) por meio do atributo `id` do shortcode `[bs_tcontent]`. O manipulador de shortcodes `bs_tcontent()` em `inc/bs_tabs.php` insere o valor do atributo `id` em um atributo HTML sem aspas. A função `esc_attr()` é aplicada, mas não codifica caracteres de espaço; portanto, um espaço no valor fornecido encerra o atributo e qualquer texto subsequente é analisado como atributos HTML adicionais, incluindo manipuladores de eventos JavaScript. Isso permite que atacantes autenticados com acesso nível Contribuidor (Contributor) ou superior injetem scripts web arbitrários que são executados no navegador de qualquer usuário que visualize a página e interaja com o elemento injetado.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.