Vulnerabilidad en plugin WP Random Button para WordPress (CVE-2026-4086)

El plugin WP Random Button para WordPress es vulnerable a Cross-Site Scripting Almacenado a través de los atributos del shortcode 'cat', 'nocat' y 'text' del shortcode 'wp_random_button' en todas las versiones hasta la 1.0, inclusive. Esto se debe a una sanitización de entrada insuficiente y un escape de salida inadecuado en los atributos del shortcode proporcionados por el usuario. Específicamente, la función random_button_html() concatena directamente los parámetros 'cat' y 'nocat' en atributos de datos HTML sin esc_attr(), y el parámetro 'text' en contenido HTML sin esc_html(). Esto hace posible que atacantes autenticados, con acceso de nivel Colaborador o superior, inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada.