CVE-2026-118189

Nome do Software Vulnerável e Versões Afetadas Posts Table with Search & Sort versões anteriores a 1.4.15

Descrição A sanitização insuficiente de entrada e a escape de saída inadequada permitem que atacantes autenticados com nível de acesso de contribuidor ou superior realizem Stored Cross-Site Scripting. Ao manipular o parâmetro date format, um atacante pode injetar scripts web arbitrários em páginas. O ataque ignora a função wp kses post durante o processo de salvamento porque a carga útil evita o uso de caracteres de colchetes angulares literais, reconstruindo as tags HTML maliciosas apenas durante a renderização. Isso permite que usuários sem a capacidade unfiltered html executem scripts quando outros usuários acessam a página afetada.

Recomendações Atualize o plugin para a versão 1.4.15 ou posterior. Restrinja o acesso ao parâmetro date format para usuários com permissões de contribuidor até que a atualização seja aplicada.