CVE-2026-8698 in Cryptocurrency Prijsvergelijking Widget Plugin
Sumário
de VulDB • 27/05/2026
O plugin WordPress Cryptocurrency Prijsvergelijking Widget apresenta uma vulnerabilidade de Stored Cross-Site Scripting (XSS) na versão 1.0. Isso ocorre devido à falta de escape adequado na saída da função as_get_coin_shortcode(), que insere diretamente o atributo do shortcode 'width' (e 'height') no atributo style de um elemento, sem aplicar nenhuma função de escape como esc_attr(). Um valor controlado pelo atacante, como '100px;"onload="alert(1)" x="', encerra prematuramente o atributo style e injeta um atributo HTML arbitrário na tag iframe. Isso permite que atacantes autenticados, com acesso de nível contribuidor ou superior, injetem scripts web arbitrários em páginas que serão executados sempre que um usuário acessar uma página contaminada.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.