CVE-2026-125409

Nome do Software Vulnerável e Versões Afetadas Passster – Password Protect Pages and Content versões anteriores a 4.3.22

Descrição A sanitização insuficiente de entrada e a escape de saída inadequada permitem que atacantes autenticados com nível de acesso de colaborador ou superior realizem Stored Cross-Site Scripting. Ao inserir um caractere ] no parâmetro metavalue (especificamente quando o metakeyinput é passster id ou passster headline), um atacante pode fechar prematuramente a tag de abertura do shortcode e anexar uma tag de fechamento [/passster]. Isso faz com que a carga útil HTML final seja emitida literalmente pela função do shortcode(), ignorando a escape em render shortcode(). O script injetado é executado quando qualquer usuário acessa a página, incluindo editores ou administradores que visualizam uma postagem pendente, pois filter the content() não possui um controle de permissão de edição.

Recomendações Atualize para a versão 4.3.22 ou posterior. Restrinja o uso do parâmetro metavalue para usuários com nível de acesso de colaborador até que a atualização seja aplicada.