CVE-2026-97396

Nome do Software Vulnerável e Versões Afetadas Email Marketing for WordPress and WooCommerce – Retainful versões anteriores a 1.0.11

Descrição A sanitização insuficiente de entrada e a falta de escape de saída permitem que atacantes autenticados com nível de acesso de assinante ou superior realizem Stored Cross-Site Scripting (XSS). Isso ocorre por meio do parâmetro data no endpoint REST '/updateOptions', permitindo a injeção de scripts web arbitrários que são executados sempre que um usuário acessa uma página afetada.

Recomendações Atualize o Email Marketing for WordPress and WooCommerce – Retainful para a versão 1.0.11 ou posterior. Como medida de mitigação temporária, restrinja o acesso ao endpoint REST '/updateOptions' para usuários com permissões de assinante.