CVE-2026-3896

Nome do Software Vulnerável e Versões Afetadas Livemesh SiteOrigin Widgets versões anteriores a 3.9.3

Descrição Ocorre Cross-Site Scripting Armazenado através da ação AJAX lsow admin ajax devido à ausência de verificações de autorização e sanitização insuficiente de entrada. Embora o manipulador AJAX verifique um nonce, ele não verifica as capacidades do usuário. Isso permite que atacantes autenticados com nível de acesso de Assinante ou superior modifiquem as configurações do plugin e injetem scripts maliciosos. Esses scripts são executados quando administradores acessam a página de configurações do plugin ou quando qualquer usuário visita o frontend.

Recomendações Atualize o Livemesh SiteOrigin Widgets para a versão 3.9.3 ou posterior.