CVE-2026-3551

Name of the Vulnerable Software and Affected Versions Custom New User Notification plugin for WordPress versões anteriores a 1.2.1

Description Cross-Site Scripting Armazenado é possível através das configurações de administrador devido à sanitização de entrada e escape de saída insuficientes em múltiplos campos de configuração. As configurações são registradas via função register setting() sem callbacks de sanitização, e os valores recuperados via get option() são ecoados diretamente em atributos de valor de entrada HTML sem esc attr(). Isso permite que atacantes autenticados com acesso de nível Administrador ou superior injetem scripts web arbitrários na página de configurações do plugin. Em instalações multi-site, isso pode ser usado por administradores de subsites para atingir super administradores. Os campos afetados incluem 'User Mail Subject', 'User From Name', 'User From Email', 'Admin Mail Subject', 'Admin From Name' e 'Admin From Email'.

Recommendations Atualize o plugin para uma versão posterior a 1.2.0.