CVE-2026-8351

Nome do Software Vulnerável e Versões Afetadas RTMKit versões anteriores a 2.0.8

Description O plugin RTMKit para WordPress contém um problema de Stored Cross-Site Scripting. Isso ocorre porque a função render() não aplica esc attr() à configuração background text heading no widget Advanced Heading, permitindo que o valor seja concatenado diretamente em um atributo HTML. Atacantes autenticados com nível de acesso de contribuidor ou superior podem explorar isso injetando scripts web arbitrários em páginas, que são executados quando um usuário visita a página afetada.

Recommendations Atualize o RTMKit para uma versão posterior a 2.0.7. Como mitigação temporária, restrinja o acesso ao parâmetro 'Background Text' do widget Advanced Heading para usuários com nível de acesso de contribuidor.