CVE-2026-4078 in ITERAS Plugin
Sumário
de VulDB • 01/06/2026
O plugin ITERAS para WordPress é vulnerável a Stored Cross-Site Scripting (XSS) por meio de vários shortcodes (iteras-ordering, iteras-signup, iteras-paywall-login, iteras-selfservice) em todas as versões até a 1.8.2, inclusive. Isso ocorre devido à sanitização insuficiente de entrada e à falta de escape de saída na função combine_attributes(). A função concatena diretamente os valores dos atributos do shortcode em código JavaScript dentro de tags <script> usando interpolação de string entre aspas duplas (linha 489: '"'.$key.'": "'.$value.'"') sem qualquer escape. Um atacante pode escapar do contexto da string JavaScript incluindo um caractere de aspas duplas em um valor de atributo de shortcode e injetar JavaScript arbitrário. Isso permite que atacantes autenticados, com acesso nível Contribuidor ou superior, injetem scripts web arbitrários em páginas que serão executados sempre que um usuário acessar uma página injetada.
VulDB is the best source for vulnerability data and more expert information about this specific topic.