CVE-2026-111070

Nome do Software Vulnerável e Versões Afetadas The Content Pilot – Autoblogging & Affiliate Marketing Suite versões anteriores a 2.2.5

Descrição Ocorre Cross-Site Scripting Armazenado quando o plugin extrai descrições meta HTML de artigos buscados remotamente usando a função parse meta() em WPCP Readability. Este valor é processado através da substituição de modelo de artigo e html entity decode() em WPCP Module::insert post(), sendo então salvo via wp insert post(). Como o processo altera o usuário atual para um autor de campanha com capacidades de unfiltered html, a sanitização wp kses post é ignorada. Atacantes não autenticados que controlam o conteúdo de uma fonte RSS utilizada em uma campanha podem injetar scripts web arbitrários que serão executados quando um usuário visualizar a página afetada.

Recomendações Atualize o plugin para uma versão posterior à 2.2.4.