CVE-2026-96574

Nome do Software Vulnerável e Versões Afetadas User Frontend – Membership, User Registration, User Profile, User Directory & Content Restriction with Frontend Post Submission versões anteriores a 4.3.13

Descrição A sanitização de entrada e a escape de saída insuficientes permitem que atacantes autenticados com nível de acesso de assinante ou superior realizem Stored Cross-Site Scripting (XSS). Isso ocorre por meio do parâmetro wpuf payment method, permitindo a injeção de scripts web arbitrários em páginas que são executados quando acessados por outros usuários. O problema é desencadeado ao anexar uma palavra-chave de gateway válida, como 'bank', ao payload HTML, o que ignora a função sanitize text field() ao retornar apenas a palavra-chave para fins de roteamento, enquanto o valor bruto malicioso completo é armazenado para renderização posterior sem escape.

Recomendações Atualize para uma versão posterior a 4.3.12. Evite usar o parâmetro wpuf payment method até que a atualização seja aplicada.