CVE-2026-116535

Nome do Software Vulnerável e Versões Afetadas SEOPress – AI SEO Plugin & On-site SEO plugin for WordPress versões anteriores a 10.4

Descrição A sanitização insuficiente de entrada e a escape de saída inadequada permitem que atacantes autenticados com nível de acesso de assinante ou superior realizem Stored Cross-Site Scripting. Um atacante pode injetar scripts web arbitrários definindo o parâmetro display name como uma string contendo o token %%archive title%% combinado com payloads de manipuladores de eventos HTML. Como o WordPress armazena nomes de exibição sem filtragem HTML e o plugin realiza a substituição do token após a escape, os scripts são executados quando um usuário acessa a página afetada.

Recomendações Atualize o plugin para a versão 10.4 ou posterior. Como medida de mitigação temporária, restrinja a capacidade de usuários com nível de acesso de assinante de modificar o parâmetro display name.