CVE-2026-9838

Nome do Software Vulnerável e Versões Afetadas ICS Calendar versões anteriores a 12.1.0

Descrição A sanitização de entrada e a a escape de saída insuficientes permitem que atacantes não autenticados injetem scripts web arbitrários em páginas. Isso ocorre quando um usuário é enganado ao clicar em um link malicioso. O problema é acessível por meio da ação AJAX não autenticada wp ajax nopriv r34ics ajax, que aceita valores de js args controlados pelo atacante mesclados com a configuração de shortcode armazenada sem a verificação de nonce (um token de segurança usado para prevenir falsificação de requisição cross-site), permitindo que o parâmetro htmltagtitle ignore a verificação normal da lista de permissões de shortcode.

Recomendações Atualize para uma versão posterior à 12.0.9. Evite usar o parâmetro htmltagtitle na ação AJAX afetada até que a atualização seja aplicada.