CVE-2025-13989

Nome do Software Vulnerável e Versões Afetadas WP Dropzone versões anteriores a 1.1.2

Description Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes no atributo de shortcode callback. A aplicação avalia valores fornecidos pelo usuário neste atributo como código JavaScript usando o construtor new Function(). Atacantes autenticados com nível de acesso de Colaborador ou superior podem injetar scripts web arbitrários em páginas, que são executados quando um usuário visita a página afetada.

Recommendations Atualize o WP Dropzone para a versão 1.1.2 ou posterior. Como mitigação temporária, restrinja a capacidade de usuários com nível de acesso de Colaborador de editar páginas ou usar o atributo callback em shortcodes.