CVE-2026-96575

Nome do Software Vulnerável e Versões Afetadas Transliterator – Multilingual and Multi-script Text Conversion versões anteriores a 2.5.9

Descrição A sanitização de entrada e a codificação de saída insuficientes permitem que atacantes não autenticados realizem Stored Cross-Site Scripting (XSS) por meio do conteúdo de comentários. Isso é feito utilizando um marcador {rstr keep} previsível, permitindo a injeção de scripts web arbitrários que são executados quando um usuário visualiza a página afetada. O payload ignora a sanitização padrão de comentários do WordPress porque as tags e atributos utilizados, como a[title] e code, são permitidos pela lista de permissões kses do núcleo de comentários, e os marcadores de shortcode e tokens de marcador do plugin não são removidos.

Recomendações Atualize para a versão 2.5.9 ou posterior.