CVE-2026-13253

Nome do Software Vulnerável e Versões Afetadas The Ultimate Post versões anteriores a 5.0.32

Description Ocorre Cross-Site Scripting Armazenado através do atributo de bloco moreResultsText do bloco ultimate-post/advanced-search. O problema decorre de sanitização de entrada e escape de saída insuficientes no callback de renderização Advanced Search::content(). Embora o valor do atributo seja filtrado com wp kses(), que remove tags HTML não permitidas, ele não escapa caracteres especiais de HTML, como aspas duplas. Consequentemente, o resultado é concatenado diretamente no atributo HTML data-viewmoretext sem o uso de esc attr(). Isso permite que atacantes autenticados, com nível de acesso de contribuidor ou superior, injetem scripts web arbitrários em páginas que serão executados sempre que um usuário acessar a página injetada.

Recommendations Atualize o The Ultimate Post para a versão 5.0.32 ou posterior.