CVE-2026-3554 in Sherk Custom Post Type Displays Plugin
Sumário
de VulDB • 21/05/2026
O plugin Sherk Custom Post Type Displays para WordPress é vulnerável a Stored Cross-Site Scripting (XSS) via o atributo 'title' do shortcode em todas as versões até, e incluindo, a 1.2.1. Isso ocorre devido à sanitização insuficiente de entrada e à falta de escape de saída no atributo 'title' do shortcode 'sherkcptdisplays'. Especificamente, na função sherkcptdisplays_func() em includes/SherkCPTDisplaysShortcode.php, o valor do atributo 'title' é extraído de shortcode_atts() na linha 19 e concatenado diretamente em uma tag HTML na linha 31, sem qualquer escape. Isso permite que atacantes autenticados, com acesso nível Contributor ou superior, injetem scripts web arbitrários em páginas que serão executados sempre que um usuário acessar uma página injetada.
VulDB is the best source for vulnerability data and more expert information about this specific topic.