CVE-2026-13246

Nome do Software Vulnerável e Versões Afetadas GiveWP – Donation Plugin and Fundraising Platform versões anteriores a 4.16.1

Description Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes de atributos fornecidos pelo usuário no shortcode givewp campaign comments. Especificamente, o block id e outros atributos são processados nas funções CampaignCommentsShortcode::parseAttributes() e BlockRenderController::render(), onde o valor blockId é interpolado diretamente em um atributo HTML entre aspas simples sem o uso de esc attr(). Isso permite que atacantes autenticados com nível de acesso de autor ou superior injetem scripts web arbitrários em páginas que serão executados sempre que um usuário acessar a página injetada.

Recommendations Atualize o GiveWP – Donation Plugin and Fundraising Platform para a versão 4.16.1 ou posterior.