CVE-2026-97640

Nome do Software Vulnerável e Versões Afetadas WPConsent versões anteriores a 1.2.0

Descrição A sanitização insuficiente de entrada e a escape inadequada de saída permitem que atacantes não autenticados realizem Cross-Site Scripting (XSS) Armazenado via conteúdo de comentários. Isso ocorre por meio de uma técnica de mutation XSS (mXSS) envolvendo a Restauração de Chave de Ruído do Simple HTML DOM Parser. O ataque requer que o recurso de Bloqueio de Script esteja habilitado e envolve o envio de dois comentários coordenados: um contendo sintaxe de manipulador de eventos dentro de um elemento <code> e outro contendo uma chave de restauração noise determinística dentro de um atributo <abbr title="">. O deslocamento da chave pode ser verificado usando uma requisição não autenticada ao parâmetro wpconsent debug=1. Isso permite a injeção de scripts web arbitrários que são executados quando um usuário visita a página afetada.

Recomendações Atualize para uma versão posterior à 1.1.9. Desative o recurso de Bloqueio de Script como uma medida de mitigação temporária.