CVE-2026-118050

Nome do Software Vulnerável e Versões Afetadas Football Pool plugin for WordPress versões anteriores a 2.13.6

Descrição A sanitização insuficiente de entrada e a falta de escape de saída permitem que atacantes autenticados com nível de acesso de assinante ou superior realizem Stored Cross-Site Scripting. Ao manipular o parâmetro shouttext, um atacante pode injetar scripts web arbitrários que são executados quando um usuário acessa a visualização de Edição do administrador para um shout. Embora o widget público Shoutbox e a visualização de lista do administrador utilizem a função Football Pool Utils::xssafe() para codificar a saída, a visualização de Edição do administrador permanece como um sink não escapado.

Recomendações Atualize o plugin para a versão 2.13.6 ou posterior. Como mitigação temporária, restrinja o acesso à visualização de Edição do administrador para shouts apenas a administradores confiáveis.