CVE-2026-49466

Nome do Software Vulnerável e Versões Afetadas Draft List versões anteriores a 2.6.4

Description Ocorre Cross-Site Scripting (XSS) armazenado no shortcode [drafts] e no widget Draft List quando a opção personalizada template coloca o marcador {{draft}} dentro de um atributo HTML. O sistema insere o post title bruto no marcador {{draft}} quando o visualizador não possui permissões para editar postagens. Como o template é sanitizado antes da substituição do marcador, um usuário com privilégios de Colaborador pode armazenar um payload no título que rompe o atributo HTML para executar JavaScript em visitantes que carregam a página pública.

Recommendations Atualize o Draft List para a versão 2.6.4.