CVE-2026-120509

Nome do Software Vulnerável e Versões Afetadas Real Testimonials – Testimonial Slider, Collect Customer Reviews and Video Testimonials versões anteriores a 4.1.1

Descrição A sanitização insuficiente de entrada e a escape de saída inadequada permitem que atacantes não autenticados realizem Stored Cross-Site Scripting (XSS), uma técnica onde scripts maliciosos são armazenados permanentemente no servidor alvo. O problema ocorre através do parâmetro tpro client name. A exploração acontece quando um administrador publica um depoimento enviado, aciona o manipulador AJAX Show Preview e salva uma Atualização, o que persiste a carga útil como o título de Visualização de Gerenciamento. Este processo requer ação administrativa para executar os scripts injetados em páginas acessadas por usuários.

Recomendações Atualize o Real Testimonials – Testimonial Slider, Collect Customer Reviews and Video Testimonials para a versão 4.1.1 ou posterior. Evite usar o parâmetro tpro client name para enviar depoimentos até que a atualização seja aplicada.