CVE-2026-119054

Nome do Software Vulnerável e Versões Afetadas Multiple Pages Generator by Themeisle versões anteriores a 4.2.5

Descrição Ocorre cross-site scripting armazenado devido à sanitização de entrada e escape de saída insuficientes. Usuários autenticados com nível de acesso de Colaborador ou superior podem injetar scripts web arbitrários através do atributo base-url dos shortcodes [mpg] e [mpg match]. Atacantes podem usar payloads codificados em entidades que ignoram o kses (uma função do WordPress usada para sanitizar HTML), mas que são posteriormente decodificados por html entity decode() e renderizados sem escape através de {{mpg url}}, resultando na execução de scripts nos navegadores de administradores.

Recomendações Atualize para a versão 4.2.5 ou posterior.