Nadir Şensoy

**Nome do Software Vulnerável e Versões Afetadas** WCFM Marketplace – Multivendor Marketplace for WooCommerce versões anteriores a 3.7.4 **Descrição** A sanitização insuficiente de entrada e a falta de escape de saída permitem que atacantes autenticados com nível de acesso de Vendedor ou superior realizem Stored Cross-Site Scripting. Um atacante pode injetar scripts web arbitrários ao fazer o upload de um anexo de mídia com um `post title` manipulado através do endpoint da API REST do WordPress '/wp-json/wp/v2/media'. O título não tratado é posteriormente emitido dentro do JSON do DataTables e inserido como innerHTML sempre que um usuário privilegiado carrega o painel de mídia, fazendo com que o script seja executado no navegador do usuário. **Recomendações** Atualize o WCFM Marketplace – Multivendor Marketplace for WooCommerce para a versão 3.7.4 ou posterior.