CVE-2026-16090

Nome do Software Vulnerável e Versões Afetadas GamiPress versões anteriores a 7.9.9.2

Description O plugin GamiPress para WordPress contém um problema de Stored Cross-Site Scripting. Atacantes autenticados com nível de acesso de contribuidor ou superior podem injetar scripts web arbitrários em páginas. Isso ocorre porque o atributo heading size dentro do shortcode gamipress achievement não é devidamente sanitizado ou escapado durante a saída. A função padrão wp kses post do WordPress não neutraliza a carga útil, pois o valor é armazenado como um atributo de shortcode e é renderizado no HTML sem escape em tempo de execução.

Recommendations Atualize o plugin para uma versão posterior à 7.9.9.1. Como medida de mitigação temporária, restrinja usuários com nível de acesso de contribuidor de editar páginas que utilizem o shortcode gamipress achievement.