CVE-2026-15782

Nome do Software Vulnerável e Versões Afetadas WPForms versões anteriores a 2.0.0.2

Descrição A sanitização insuficiente de entrada e a escape de saída inadequada permitem que atacantes autenticados com nível de acesso de contribuidor ou superior realizem Stored Cross-Site Scripting (XSS). Isso ocorre por meio do atributo data-sitekey na integração com o OptinMonster no conteúdo da postagem, permitindo a injeção de scripts web arbitrários que são executados quando um usuário visita a página afetada. A exploração bem-sucedida requer que o plugin OptinMonster esteja instalado e configurado com uma campanha inline ativa que gere a marcação #om-{id} correspondente, pois o manipulador do WPForms é acionado apenas durante o evento om.Campaign.load.

Recomendações Atualize para uma versão posterior à 2.0.0.1.