CVE-2024-11195

Plugin Email Subscription Popup para o WordPress, versões até a 1.2.22, inclusive

O plugin Email Subscription Popup para o WordPress está vulnerável a um ataque de Stored Cross-Site Scripting (XSS) por meio do shortcode print email subscribe form do plugin, devido à sanitização insuficiente de entradas e à falta de escapamento de saída em atributos fornecidos pelo usuário. Isso permite que invasores autenticados, com acesso de nível de colaborador ou superior, injetem scripts web arbitrários em páginas que serão executados sempre que um usuário acessar uma página infectada.

Para o plugin Email Subscription Popup para versões do WordPress até a 1.2.22, inclusive, atualize para uma versão posterior à 1.2.22 para resolver o problema.

Como solução temporária, considere desativar o shortcode print email subscribe form até que um patch esteja disponível.

Restrinja o acesso às configurações do plugin para minimizar o risco de exploração, garantindo que apenas usuários confiáveis com acesso de nível de administrador possam modificar as configurações.