CVE-2026-96578

Nome do Software Vulnerável e Versões Afetadas GSpeech TTS – WordPress Text To Speech Plugin versões anteriores a 3.22.1

Descrição A sanitização de entrada e a escape de saída insuficientes permitem que atacantes não autenticados realizem Stored Cross-Site Scripting por meio do conteúdo de comentários. Isso é alcançado através de uma transformação estilo mXSS, onde a carga útil é armazenada usando tags e atributos permitidos pela sanitização kses de comentários do WordPress. Os manipuladores de eventos maliciosos e fragmentos de estilo são ativados quando o callback do buffer de saída do plugin reescreve o HTML renderizado durante a requisição. Isso permite a execução de scripts web arbitrários sempre que um usuário acessa a página afetada.

Recomendações Atualize o GSpeech TTS – WordPress Text To Speech Plugin para a versão 3.22.1 ou posterior.