CVE-2026-13733

Nome do Software Vulnerável e Versões Afetadas Download Manager versões anteriores a 3.3.61

Descrição A sanitização insuficiente de entrada e a escape de saída inadequada no plugin Download Manager para WordPress permitem que atacantes autenticados com nível de acesso de contribuidor ou superior realizem Stored Cross-Site Scripting. Ao utilizar o atributo de shortcode no data msg, um atacante pode injetar scripts web arbitrários em páginas. Embora a função wp kses post seja utilizada para filtrar o conteúdo da postagem, ela não neutraliza sequências de escape do estilo C dentro de atributos de shortcode, permitindo que um payload ignore o filtro e seja executado como uma tag de script bruta quando a página é renderizada.

Recomendações Atualize o plugin para uma versão posterior à 3.3.60.