CVE-2026-93293

Nome do Software Vulnerável e Versões Afetadas Password Protected versões anteriores a 2.8.5

Descrição Ocorre Cross-Site Scripting Armazenado através do manipulador de conclusão de compra do SDK Freemius integrado devido à sanitização de entrada e escape de saída insuficientes. Quando a opção de adesão ao Freemius está ativa, o manipulador processa o parâmetro de requisição purchased plan em qualquer requisição wp-admin de um usuário autenticado sem exigir capacidades específicas, nonces ou validação de compra. A entrada é armazenada em um aviso administrativo persistente em todo o site, permitindo que atacantes autenticados com nível de acesso de assinante ou superior injetem scripts web arbitrários. Esses scripts são executados automaticamente quando um administrador visualiza uma página administrativa padrão, como a página de Perfil.

Recomendações Atualize o Password Protected para a versão 2.8.5 ou posterior.