CVE-2026-96649

Nome do Software Vulnerável e Versões Afetadas Frontend Post Submission Manager Lite – Frontend Posting WordPress Plugin versões anteriores a 1.3.5

Descrição A sanitização insuficiente de entrada e a falta de escape de saída permitem que atacantes não autenticados realizem Stored DOM-Based Cross-Site Scripting. Isso ocorre por meio do parâmetro post content, que atua como um data-label DOM Sink. Atacantes podem injetar scripts web arbitrários em páginas que serão executados quando acessados por usuários. Este problema é explorável se o operador do site tiver habilitado o envio de postagens de convidados usando o shortcode [fpsm], que registra um manipulador AJAX publicamente acessível protegido apenas por um nonce.

Recomendações Atualize o plugin para uma versão posterior à 1.3.4. Como medida de mitigação temporária, desative o envio de postagens de convidados removendo o shortcode [fpsm] do site.