CVE-2026-116520

Nome do Software Vulnerável e Versões Afetadas PPWP – Password Protect Pages versões anteriores a 1.9.27

Descrição A sanitização insuficiente de entrada e a escape de saída inadequada permitem que atacantes não autenticados realizem Stored Cross-Site Scripting. Isso é feito através do parâmetro desc below form em comentários ou atributos de shortcode, utilizando um placeholder como auxiliar de marker-smuggling. Atacantes podem injetar scripts web arbitrários em páginas que serão executados quando acessados por usuários. O problema é facilitado pelo filtro comment content do WordPress, que não altera textos de shortcode simples sem tags HTML, e pela configuração comment whitelist, que pode aprovar automaticamente comentários de identidades previamente verificadas.

Recomendações Atualize o PPWP – Password Protect Pages para a versão 1.9.27 ou posterior.