CVE-2026-9729

Nome do Software Vulnerável e Versões Afetadas Webpushr Push Notifications versões anteriores a 4.39.1

Descrição Ocorre Cross-Site Scripting Armazenado quando invasores autenticados com nível de acesso de contribuidor ou superior injetam scripts web arbitrários em páginas. Isso é causado por sanitização de entrada insuficiente na função save send notification flag() e falta de escape de saída na função wpp notification box(), que concatena valores brutos de meta post diretamente em contextos de atributo HTML e textarea. O problema envolve os parâmetros webpushr notification title e webpushr notification body.

Recomendações Atualize para uma versão posterior à 4.39.0. Como medida paliativa temporária, restrinja o acesso aos parâmetros webpushr notification title e webpushr notification body para usuários com nível de acesso de contribuidor.