Vulnerabilidad en plugin WordPress PayPal Donation para WordPress (CVE-2026-4072)

El plugin WordPress PayPal Donation para WordPress es vulnerable a cross-site scripting almacenado a través del shortcode 'donate' en todas las versiones hasta la 1.01, inclusive. Esto se debe a una sanitización de entrada y un escape de salida insuficientes en los atributos de shortcode proporcionados por el usuario, como 'amount', 'email', 'title', 'return_url', 'cancel_url', 'ccode' e 'image'. La función wordpress_paypal_donation_create() utiliza extract(shortcode_atts(...)) para procesar los atributos del shortcode y luego interpola directamente estos valores en la salida HTML dentro de valores de atributos entre comillas simples sin ningún escape. Esto hace posible que atacantes autenticados, con acceso de nivel Colaborador y superior, inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada.