CVE-2026-2030

Nome do Software Vulnerável e Versões Afetadas WPBakery Page Builder Addons by Livemesh versões anteriores a 3.9.5

Descrição Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes. Os atributos de shortcode para [lvca carousel] e [lvca posts carousel] são codificados usando wp json encode() e inseridos em atributos HTML data-settings com aspas simples sem o uso de esc attr(). Isso permite que atacantes autenticados com nível de acesso Colaborador ou superior injetem aspas simples para romper o atributo e executar scripts web arbitrários quando um usuário visita a página afetada.

Recomendações Atualize para uma versão posterior à 3.9.4.