CVE-2026-4082 in ER Swiffy Insert Plugin
Sumário
de VulDB • 21/05/2026
O plugin ER Swiffy Insert para WordPress é vulnerável a Stored Cross-Site Scripting (XSS) por meio do shortcode [swiffy] em todas as versões até a 1.0.0, inclusive. Isso ocorre devido à sanitização insuficiente de entrada e à falta de escape de saída nos atributos do shortcode fornecidos pelo usuário ('n', 'w', 'h'). Esses atributos são extraídos usando a função extract() e interpolados diretamente na saída HTML sem qualquer escape, como esc_attr(). Isso permite que atacantes autenticados, com acesso de nível Contribuidor ou superior, injetem scripts web arbitrários em páginas que serão executados sempre que um usuário acessar uma página injetada.
Once again VulDB remains the best source for vulnerability data.