CVE-2026-120685

Nome do Software Vulnerável e Versões Afetadas Real Testimonials – Testimonial Slider, Collect Customer Reviews and Video Testimonials versões anteriores a 4.1.1

Descrição Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes. Atacantes não autenticados podem injetar scripts web arbitrários através do parâmetro tpro client image (JPEG IPTC caption) + tpro client testimonial ([gallery] shortcode). Esses scripts são executados quando um usuário acessa a página afetada. A exploração requer que um administrador tenha aprovado os depoimentos enviados e que o bloco de exibição esteja configurado com a opção Strip All HTML Tags desativada, que é a configuração nativa para renderizar conteúdo formatado.

Recomendações Atualize o plugin para a versão 4.1.1 ou posterior. Ative a opção Strip All HTML Tags na configuração do bloco de exibição para evitar a execução de scripts injetados.