CVE-2026-111109

Nome do Software Vulnerável e Versões Afetadas Webmention plugin for WordPress versões anteriores a 5.10.2

Descrição Ocorre Cross-Site Scripting Armazenado através da meta tag Open Graph og:title de uma URL de origem de webmention. O problema decorre de sanitização insuficiente de entrada, onde Meta::add properties() mapeia og:title para a propriedade Item::name. Como Item não possui um método set name() concreto, Item:: call() armazena o valor bruto, ao contrário de set content() ou set summary(), que utilizam webmention sanitize html(). Quando o conteúdo e o resumo estão vazios, Item::get content() utiliza o nome bruto. Além disso, Receiver::process() remove os hooks wp filter kses e wp filter post kses em pre comment content antes de chamar wp new comment(), permitindo que o payload seja salvo em comment content. Atacantes não autenticados podem injetar scripts web arbitrários que são executados quando um usuário acessa a página, desde que um administrador aprove o comentário de webmention pendente.

Recomendações Atualize o Webmention plugin for WordPress para a versão 5.10.2 ou posterior.