CVE-2026-16786

Nome do Software Vulnerável e Versões Afetadas Live Composer – Free WordPress Website Builder versões anteriores a 2.1.20

Descrição Ocorre Cross-Site Scripting Armazenado através do shortcode dslc module testimonials output devido à sanitização de entrada e escape de saída insuficientes. Atacantes autenticados com nível de acesso de contribuidor ou superior podem injetar scripts web arbitrários em páginas. Esses scripts são executados sempre que um usuário acessa a página injetada. O problema persiste porque o filtro wp kses post trata os delimitadores de shortcode como opacos, permitindo que campos não escapados, como main heading title, view all link, main heading link title e main filter title all, sejam renderizados durante a execução da função do shortcode() no momento da visualização da página.

Recomendações Atualize para uma versão posterior a 2.1.19.