CVE-2026-16788

Nome do Software Vulnerável e Versões Afetadas Live Composer – Free WordPress Website Builder versões anteriores a 2.1.20

Descrição Ocorre Cross-Site Scripting Armazenado através do shortcode dslc module projects output devido à sanitização de entrada e escape de saída insuficientes. Atacantes autenticados com nível de acesso de contribuidor ou superior podem injetar scripts web arbitrários em páginas. Isso é possível porque o tratamento kses do WordPress, ciente de shortcodes, preserva o corpo do shortcode serializado como um marcador antes da execução da filtragem de conteúdo, permitindo que as variáveis view all link, main heading link title, main filter title all e button text alcancem sinks de renderização sem serem escapadas.

Recomendações Atualize para uma versão posterior à 2.1.19.