CVE-2026-16685

Nome do Software Vulnerável e Versões Afetadas Download Manager versões anteriores a 3.3.67

Description O plugin Download Manager para WordPress contém um problema de Stored Cross-Site Scripting. Atacantes autenticados com nível de acesso de contribuidor ou superior podem injetar scripts web arbitrários em páginas. Isso ocorre porque o atributo de shortcode icon não é devidamente sanitizado ou escapado durante a renderização. A função wp kses post() não neutraliza a carga útil, pois processa o conteúdo da postagem no momento do salvamento e não processa os valores de atributos de shortcode emitidos sem escape no momento da renderização.

Recommendations Atualize para uma versão posterior à 3.3.66. Como medida de mitigação temporária, restrinja o uso do atributo icon em shortcodes para usuários com nível de acesso de contribuidor.