CVE-2026-15002

Nome do Software Vulnerável e Versões Afetadas Platnosci Online Blue Media (Autopay) plugin for WordPress versões anteriores a 5.0.1

Description Ocorre Cross-Site Scripting Armazenado através do parâmetro POST bm woocommerce css editor content. A função Css Editor::handle save() está vinculada ao hook init do WordPress por Settings Manager::init once() sem verificação de capacidade, verificação de nonce ou sanitização de entrada. Isso permite que atacantes não autenticados gravem dados brutos na opção woocommerce bluemedia settings usando update option(). O conteúdo é posteriormente renderizado sem escape de saída dentro de um bloco de estilo na página de checkout do WooCommerce por Css Frontend::print to wp head(), permitindo a execução de scripts web arbitrários quando um usuário visita a página afetada.

Recommendations Atualize o plugin Platnosci Online Blue Media (Autopay) para WordPress para a versão 5.0.1 ou posterior.