CVE-2026-6427

Nome do Software Vulnerável e Versões Afetadas a3 Lazy Load versões anteriores a 2.7.7

Descrição O plugin contém um problema de Stored Cross-Site Scripting causado por um erro de regex no método filter videos() e saída não escapada no template admin/views/form-data.php. Um invasor autenticado com nível de acesso de Colaborador pode inserir uma tag <video> manipulada com um atributo src contendo a substring class=". Isso engana o regex de substituição de classe, fazendo com que ele consuma uma aspa de fechamento de valor de atributo, deslocando o limite de aspas do parser HTML5 e permitindo que texto controlado pelo invasor seja executado como atributos de manipulador de eventos independentes, como autofocus e onfocus. O script injetado é então executado no navegador de qualquer usuário, incluindo administradores, que visualizar a postagem.

Recomendações Atualize para uma versão posterior à 2.7.6.