CVE-2026-97338

Nome do Software Vulnerável e Versões Afetadas Download Manager versões anteriores a 3.3.71

Description O plugin Download Manager para WordPress contém um problema de Stored Cross-Site Scripting causado por sanitização de entrada e escape de saída insuficientes. Usuários autenticados com nível de acesso de assinante ou superior podem injetar scripts web arbitrários através do campo de nome de exibição. Esta exploração é possível quando o shortcode [wpdm edit profile] está presente em uma página frontal acessível a esses usuários, permitindo que eles ignorem a sanitização usando um payload com codificação de entidade múltipla. Os scripts injetados são executados sempre que um usuário visita a página afetada.

Recommendations Atualize o Download Manager para a versão 3.3.71 ou posterior. Como medida de mitigação temporária, remova o shortcode [wpdm edit profile] de todas as páginas frontais acessíveis a usuários com nível de assinante.