CVE-2026-3997

WordPress üçün olan Text Toggle plagini, 1.1 versiyası daxil olmaqla bütün versiyalarda [tt_part] və [tt] shortcode-larının 'title' atributu vasitəsilə Saxlanılan Saytlararası Skriptinqə (Stored XSS) qarşı həssasdır. Bu, istifadəçi tərəfindən təmin edilən shortcode atributlarının kifayət qədər təmizlənməməsi və çıxışın düzgün şəkildə escape edilməməsi ilə bağlıdır. Xüsusilə, avp_texttoggle_part_shortcode() funksiyasında 'title' atributu shortcode atributlarından çıxarılır və heç bir escape prosesi olmadan birbaşa HTML çıxışına əlavə edilir — həm 116-cı sətirdə HTML atribut kontekstində (title="..."), həm də 119-cu sətirdə HTML məzmununda. 'class' atributu ctype_alnum() vasitəsilə düzgün şəkildə yoxlanılsa da, 'title' atributuna heç bir təmizləmə tətbiq edilmir. Hücumçu dırnaq işarələri yerləşdirərək title atributundan çıxa və hadisə idarəediciləri də daxil olmaqla ixtiyari HTML atributlarını inyeksiya edə bilər. Bu, Kontribütor səviyyəli və daha yüksək giriş hüququna malik autentifikasiya olunmuş hücumçulara səhifələrə ixtiyari veb skriptlər yerləşdirməyə imkan verir və bu skriptlər istifadəçi həmin səhifəyə daxil olduqda icra edilir.