Whitesector

**Nome do Software Vulnerável e Versões Afetadas** Football Pool plugin for WordPress versões anteriores a 2.13.5 **Descrição** Ocorre Reflected Cross-Site Scripting devido à sanitização de entrada e escape de saída insuficientes. Quando o envio de um formulário de shoutbox falha na verificação de nonce, o parâmetro `shouttext` está vazio ou o usuário não consegue salvar, o valor bruto do POST é ecoado de volta em um elemento `<textarea>` usando a função `printf('%s', ...)` sem escape HTML. Isso permite que atacantes não autenticados executem scripts web arbitrários no navegador de uma vítima autenticada com permissões de nível Assinante ou superior que seja enganada para enviar uma requisição POST manipulada para uma página que contenha o widget Shoutbox. **Recomendações** Atualize o Football Pool plugin for WordPress para a versão 2.13.5 ou posterior. Como mitigação temporária, restrinja o acesso ao widget Shoutbox ou evite usar o parâmetro `shouttext` até que a atualização seja aplicada.