CVE-2026-39692

Wtyczka tagDiv Composer dla WordPressa jest podatna na Stored Cross-Site Scripting przez shortcode vc_raw_html we wszystkich wersjach do 5.4.5 włącznie. Wynika to z niedostatecznej sanityzacji wejścia i braku escapowania wyjścia w metodzie vc_raw_html::render(), która dekoduje zawartość shortcode z base64 (po strip_tags(), które jest omijane, ponieważ zakodowany payload nie zawiera tagów przy zapisie) i łączy wynik bezpośrednio z HTML strony. Ponieważ filtr wp_kses_post() przy zapisie widzi tylko obojętny tekst base64 w normalnych nawiasach shortcode i nie dekoduje go, niebezpieczne tagi przetrwają w post_content i są emitowane bez escapowania w czasie renderowania. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyżej wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę (np. gdy Edytor lub Administrator podgląda oczekujący wpis).

Wtyczka tagDiv Composer do WordPressa zawiera podatność na odbity atak XSS (Cross-site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Problem dotyczy wersji do 5.4.3 włącznie.

Wtyczka tagDiv Composer (td-composer) dla WordPressa w wersjach do 5.4.3 włącznie zawiera podatność na podstawowy atak XSS (Basic XSS) poprzez niewłaściwą neutralizację skryptowych tagów HTML. Umożliwia to wstrzyknięcie kodu.