CVE-2026-10513

Nome do Software Vulnerável e Versões Afetadas Webmention versões anteriores a 5.8.1

Descrição Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes de propriedades de autor Microformat 2 (MF2) fornecidas pelo usuário. Um invasor não autenticado pode injetar scripts web arbitrários por meio dos metadados de autor avatar e url processados pelo endpoint REST de webmention não autenticado. Esses scripts são renderizados diretamente em atributos de valor HTML pelo template edit-comment-form sem o uso das funções esc attr() ou esc url(). Os scripts injetados são executados quando um usuário privilegiado, como um moderador ou administrador, abre a tela de edição de comentário afetada.

Recomendações Atualize o Webmention para uma versão posterior a 5.8.0.