CVE-2026-120550

Nome do Software Vulnerável e Versões Afetadas WP User Manager – Registration Form, Login Form, User Profile Builder & Member Directory versões anteriores a 2.10.3

Descrição A sanitização de entrada e a escape de saída insuficientes permitem que atacantes autenticados com nível de acesso de assinante ou superior realizem Stored Cross-Site Scripting (XSS). Isso ocorre quando scripts web arbitrários são injetados através do parâmetro wp users.display name no endpoint REST de usuários. O payload é armazenado usando o endpoint REST do núcleo do WordPress 'POST /wp-json/wp/v2/users/me', que ignora o sanitizador wpum sanitize text utilizado no formulário de conta do front-end. Esses scripts são executados sempre que um usuário acessa uma página que contenha o conteúdo injetado.

Recomendações Atualize para uma versão posterior à 2.10.2.