CVE-2026-28561

Nome do Software Vulnerável e Versões Afetadas wpForo Forum versão 2.4.14

Descrição O software contém uma vulnerabilidade de XSS armazenado. Isso permite que administradores injetem JavaScript persistente por meio dos campos de descrição do fórum. O script injetado é executado quando qualquer usuário visualiza a listagem do fórum, pois a descrição do fórum é exibida sem a devida sanitização de saída em vários arquivos de modelo de tema. Em instalações multisite ou com uma conta de administrador comprometida, um atacante pode definir uma descrição de fórum contendo manipuladores de eventos HTML.

Recomendações Atualize para uma versão mais recente que contenha uma correção para esta vulnerabilidade. Como solução temporária, sanitize todas as entradas nos campos de descrição do fórum para evitar a injeção de scripts maliciosos. Restrinja os privilégios das contas de administrador para minimizar o impacto de um possível comprometimento.