CVE-2026-116394

Nome do Software Vulnerável e Versões Afetadas WpEvently versões anteriores a 5.8.0

Descrição O plugin é suscetível a injeção de HTML e injeção de código devido à neutralização inadequada de tags HTML relacionadas a scripts. Isso ocorre porque a ação AJAX mep submit rsvp não realiza verificações de autorização de tipo de postagem e de membros, e utiliza um nonce genérico e agnóstico ao evento mep rsvp nonce que pode ser obtido em páginas de eventos públicos. Consequentemente, invasores não autenticados podem injetar conteúdo HTML arbitrário por meio dos dados POST attendee fields, que podem ser renderizados na interface de administração ou na saída de confirmação.

Recomendações Atualize para uma versão posterior a 5.7.9.