CVE-2026-2512

Nome do Software Vulnerável e Versões Afetadas Code Embed versões anteriores a 2.5.2

Description Ocorre Cross-Site Scripting (XSS) armazenado por meio de valores meta de campos personalizados. O problema surge porque a função de saneamento sec check post fields() é executada apenas durante o hook save post, enquanto o endpoint AJAX wp ajax add meta permite a adição de campos personalizados sem acionar esse hook. Posteriormente, a função ce filter() exibe esses valores meta não saneados diretamente no conteúdo da página sem a devida filtragem. Isso permite que atacantes autenticados com nível de acesso Colaborador ou superior injetem scripts web arbitrários que serão executados sempre que um usuário acessar a página afetada.

Recommendations Atualize para a versão 2.5.2 ou posterior.