CVE-2026-109972

Nome do Software Vulnerável e Versões Afetadas s2Member versões anteriores a 261012

Descrição A sanitização insuficiente de entrada e a escape de saída inadequada permitem que atacantes autenticados com nível de acesso de contribuidor ou superior realizem Stored Cross-Site Scripting. Ao manipular o parâmetro date format, um atacante pode injetar scripts web arbitrários em páginas. O ataque ignora a função wp kses post() durante o salvamento ao usar sequências escapadas por barra invertida em vez de colchetes angulares literais. Essas sequências são posteriormente convertidas em caracteres de tag HTML pela função date() do PHP após a função shortcode parse atts() aplicar stripcslashes() ao valor do atributo.

Recomendações Atualize o s2Member para uma versão posterior à 261011. Evite usar o parâmetro date format em shortcodes até que a atualização seja aplicada.