CVE-2026-16145

Nome do Software Vulnerável e Versões Afetadas Invisible Anti-Spam & CAPTCHA — reCAPTCHA Alternative for All Forms versões anteriores a 5.2

Descrição A sanitização de entrada e a codificação de saída insuficientes permitem que invasores não autenticados realizem Stored Cross-Site Scripting (XSS), uma técnica onde scripts maliciosos são armazenados permanentemente em um servidor alvo. O problema ocorre através do parâmetro action no endpoint admin-ajax.php. Um invasor pode injetar scripts web arbitrários enviando uma requisição onde o valor de action corresponda a uma entrada na lista explicit-actions do plugin, que é preenchida automaticamente para construtores de formulários comuns durante a ativação e não requer autenticação para alcançar o caminho de salvamento. Esses scripts são executados sempre que um usuário acessa a página afetada.

Recomendações Atualize para uma versão posterior à 5.1.