CVE-2026-109234

Nome do Software Vulnerável e Versões Afetadas Meow Lightbox versões anteriores a 5.6.5

Descrição A sanitização insuficiente de entrada e a escape de saída inadequada permitem que atacantes não autenticados realizem Stored Cross-Site Scripting. Isso ocorre por meio do parâmetro post content (bbPress reply body), permitindo a injeção de scripts web arbitrários que são executados quando um usuário visualiza a página afetada. A exploração requer que o administrador tenha habilitado o Output Buffering, o mecanismo HtmlDomParser e o Aggressive Resolve, bem como uma superfície de submissão de HTML armazenado, como respostas anônimas do bbPress, onde a lista de permissões kses preserve atributos img.

Recomendações Atualize o Meow Lightbox para a versão 5.6.5 ou posterior. Como mitigação temporária, restrinja o uso do parâmetro post content (bbPress reply body) ou desative as configurações do mecanismo HtmlDomParser e Aggressive Resolve.