O plugin Prismatic para WordPress é vulnerável a Cross-Site Scripting (XSS) armazenado via o pseudo-atalho 'prismatic_encoded' em todas as versões até, e incluindo, 3.7.3. Isso ocorre devido à sanitização de entrada e escape de saída insuficientes em atributos fornecidos pelo usuário dentro da função 'prismatic_decode'. Isso torna possível que atacantes não autenticados injetem scripts web arbitrários em páginas que serão executados sempre que um usuário acessar uma página injetada, enviando um comentário contendo um atalho 'prismatic_encoded' craf

Um atacante pode explorar essa vulnerabilidade injetando código JavaScript malicioso através de um comentário contendo um pseudo-shortcode 'prismatic_encoded' especialmente elaborado. Quando um usuário acessa a página com o comentário, o script injetado é executado no navegador do usuário, permitindo ao atacante roubar cookies de sessão, redirecionar o usuário para sites maliciosos ou modificar o conteúdo da página. O impacto pode ser significativo, especialmente em sites com grande tráfego ou que lidam com informações sensíveis, pois a exploração bem-sucedida pode levar ao comprometimento de contas de usuário e à disseminação de malware. A vulnerabilidade se assemelha a outras falhas de XSS em plugins WordPress, onde a falta de validação de entrada é a causa raiz.

Websites using the Prismatic WordPress plugin, especially those with public comment sections or forums, are at risk. Shared hosting environments where multiple WordPress sites share the same server resources are particularly vulnerable, as a compromise on one site could potentially impact others.

• wordpress / composer / npm:

grep -r 'prismatic_encoded' /var/www/html/wp-content/plugins/prismatic/

• wordpress / composer / npm:

wp plugin list | grep prismatic

• wordpress / composer / npm:

wp plugin update prismatic

• generic web: Inspect comment fields for suspicious shortcode usage, particularly those containing encoded characters.

1. 2026-04-16Disclosure

   disclosure

1. Reservado2026-03-10
2. Publicada2026-04-16
3. Modificada2026-04-22
4. EPSS atualizado2026-04-23

A mitigação primária para CVE-2026-3876 é atualizar o plugin Prismatic para a versão 3.7.4 ou superior, que corrige a vulnerabilidade. Se a atualização imediata não for possível devido a problemas de compatibilidade, considere desativar o plugin Prismatic temporariamente. Como medida adicional, implemente regras em um Web Application Firewall (WAF) para bloquear solicitações contendo o pseudo-shortcode 'prismatic_encoded' com payloads suspeitos. Monitore logs de acesso e erro do WordPress em busca de padrões de injeção de script, como a presença de tags <script> ou URLs suspeitas nos comentários.

Instalações ativas

2KNicho

Avaliação do plugin