CVE-2026-118204

Nome do Software Vulnerável e Versões Afetadas WP Data Access – App Builder for Tables, Forms, Dashboards, Charts & Maps versões anteriores a 5.5.90

Descrição A sanitização de entrada e a escape de saída insuficientes permitem que atacantes autenticados com nível de acesso de assinante ou superior realizem Stored Cross-Site Scripting (XSS). Isso ocorre por meio do parâmetro ImageURL column value (populated from wp usermeta.description in the demonstrated path). Um atacante pode injetar scripts web arbitrários em páginas que serão executados sempre que um usuário acessar a página injetada. Isso requer que um administrador tenha publicado um shortcode DataTables sobre uma coluna de banco de dados controlada pelo atacante, como wp usermeta.description, com o tipo de mídia Image URL atribuído a essa coluna.

Recomendações Atualize o WP Data Access – App Builder for Tables, Forms, Dashboards, Charts & Maps para a versão 5.5.90 ou posterior.