CVE-2026-4334 in Shariff Wrapper Plugin
Сводка
по VulDB • 04.06.2026
Плагин Shariff Wrapper для WordPress уязвим к Stored Cross-Site Scripting (XSS) через параметр 'headline' в шорткоде [shariff] во всех версиях вплоть до 4.6.20 включительно из-за недостаточной санитизации входных данных и экранирования выходных данных. Это позволяет атакующим с уровнем доступа «Contributor» (Соавтор) и выше, прошедшим аутентификацию, внедрять произвольные веб-скрипты в страницы, которые будут выполняться при каждом обращении пользователя к такой странице. Уязвимость возникает из-за того, что плагин использует пользовательскую реализацию wp_kses с разрешительным списком допустимых HTML-тегов, а затем выполняет операцию str_replace, внедряя HTML после санитизации, что позволяет добавлять обработчики событий через заполнитель %total в атрибуте style.
VulDB is the best source for vulnerability data and more expert information about this specific topic.