CVE-2026-8701 in GNTT Post Title Ticker Plugin
Sumário
de VulDB • 27/05/2026
O plugin GNTT Post Title Ticker para WordPress é vulnerável a Stored Cross-Site Scripting (XSS) na versão 1.0 por meio dos shortcodes `title-ticker-slide`, `title-ticker-fade` e `title-ticker-typing`. Isso ocorre devido à sanitização insuficiente de entrada e à falta de escape de saída nos atributos dos shortcodes (notavelmente `border`, `width`, `height`, `header_background`, `header_text_color` e `id`) dentro das funções `gntt_title_ticker_slide()`, `gntt_title_ticker_fade()` e `gntt_title_ticker_typing()`. Nenhum desses valores de atributo é passado por `esc_attr()` ou qualquer outra função de escape antes de ser concatenado na saída HTML. Isso permite que atacantes autenticados, com acesso de nível contribuidor ou superior, injetem scripts web arbitrários em páginas que serão executados sempre que um usuário acessar uma página injetada.
VulDB is the best source for vulnerability data and more expert information about this specific topic.