CVE-2026-100196

Nome do Software Vulnerável e Versões Afetadas LazyLoad Plugin – Lazy Load Images, Videos, and Iframes versões anteriores a 2.4.1

Description Ocorre Cross-Site Scripting Armazenado através do parâmetro comment content, que é renderizado inline no HTML da página. Este problema decorre de sanitização de entrada e escape de saída insuficientes. Atacantes não autenticados podem injetar scripts web arbitrários que são executados quando um usuário acessa a página afetada. A vulnerabilidade ignora a lista de permissões wp kses data do núcleo do WordPress porque a carga útil utiliza tags e atributos permitidos, ocultando o manipulador de eventos dentro de uma região de atributo corrompida. A função str replace() do plugin, durante a renderização, promove isso a um atributo DOM real. A execução da carga útil requer que um administrador do site aprove o comentário manipulado.

Recommendations Atualize para uma versão posterior a 2.4.0. Como medida paliativa temporária, restrinja a capacidade de usuários não autenticados de enviar comentários ou garanta a revisão manual rigorosa de todo o conteúdo dos comentários antes da aprovação.