CVE-2026-125948

Nome do Software Vulnerável e Versões Afetadas Recipe Card Blocks Lite versões anteriores a 3.7.1

Descrição A sanitização de entrada e a escape de saída insuficientes permitem que atacantes autenticados com nível de acesso de contribuidor ou superior realizem Stored Cross-Site Scripting. Ao incorporar payloads de manipuladores de eventos no parâmetro steps[].text, um atacante pode injetar scripts web arbitrários em páginas. Isso ocorre porque a função wp kses post() preserva comentários HTML delimitadores de bloco durante o processo de salvamento, permitindo que o payload seja executado para qualquer visitante, incluindo administradores e editores que visualizam ou publicam a postagem, bem como através do endpoint de impressão pública.

Recomendações Atualize para uma versão posterior à 3.7.0. Evite usar o parâmetro steps[].text para entradas não confiáveis até que a atualização seja aplicada.