CVE-2026-15099

Nome do Software Vulnerável e Versões Afetadas Delicious Recipes versões anteriores a 1.10.3

Descrição Ocorre Cross-Site Scripting Armazenado através do atributo de bloco 'steps'. O problema decorre de sanitização de entrada e escape de saída insuficientes na função wrap direction text(). Especificamente, a função interpola o valor href fornecido pelo usuário de nós de link aninhados ($node['props']['href']) diretamente em uma tag de âncora usando sprintf() sem aplicar esc url() ou realizar a validação do esquema de URL. Atacantes autenticados com nível de acesso de Colaborador ou superior podem injetar scripts web arbitrários, como URIs de javascript, em páginas. Esses scripts são executados quando um usuário, como um editor ou administrador, visualiza a prévia da postagem pendente e clica no link malicioso.

Recomendações Atualize o Delicious Recipes para a versão 1.10.3 ou posterior. Como mitigação temporária, restrinja usuários com nível de acesso de Colaborador de editar o atributo de bloco 'steps'.