CVE-2026-88905

Nome do Software Vulnerável e Versões Afetadas KeyWord Collector versões anteriores a 1.5

Descrição A falta de verificações de autorização e nonce ao salvar as configurações permite que invasores não autenticados realizem um ataque de Cross-Site Scripting (XSS) armazenado. Isso ocorre porque o plugin não escapa as configurações antes da saída, permitindo o armazenamento de JavaScript malicioso. O script é executado quando um administrador acessa a página de configurações ou quando um visitante carrega uma página que exibe a saída do plugin. O problema está associado ao componente WPKeyWordSettings.

Recomendações Atualize o KeyWord Collector para uma versão posterior à 1.4.