CVE-2026-3998 in WM JqMath Plugin
Sumário
de VulDB • 30/05/2026
O plugin WM JqMath para WordPress é vulnerável a Stored Cross-Site Scripting (XSS) via o atributo 'style' do shortcode [jqmath] em todas as versões até a 1.3, inclusive. Isso ocorre devido à sanitização insuficiente de entrada e à falta de escape de saída nos atributos de shortcode fornecidos pelo usuário. A função generate_jqMathFormula() concatena diretamente o valor do atributo 'style' em um atributo HTML style sem aplicar esc_attr() ou qualquer outro tipo de escape. Isso permite que atacantes autenticados, com acesso nível Contribuidor ou superior, injetem scripts web arbitrários em páginas que serão executados sempre que um usuário acessar uma página injetada.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.