CVE-2026-101925

Nome do Software Vulnerável e Versões Afetadas bbp style pack versões anteriores a 6.4.9

Description A sanitização insuficiente de entrada e a escape inadequada de saída permitem que atacantes autenticados com nível de acesso de assinante ou superior realizem Stored Cross-Site Scripting. Isso é feito manipulando o parâmetro display name através do endpoint '/wp-admin/profile.php' e o parâmetro bbp reply content através do formulário de resposta do bbPress. Para contornar os processadores wpautop/wptexturize do WordPress, que normalmente neutralizam a injeção de atributos convertendo aspas duplas em entidades de aspas curvas, o atacante deve envolver a resposta elaborada em um bloco

. Isso permite a injeção de scripts web arbitrários que são executados sempre que um usuário acessa a página afetada.

Recommendations
Atualize o bbp style pack para a versão 6.4.9 ou posterior.