CVE-2026-19914

Nome do Software Vulnerável e Versões Afetadas Welcart e-Commerce plugin for WordPress versões anteriores a 2.12.2

Descrição A sanitização insuficiente de entrada e a falta de escape de saída permitem que atacantes não autenticados realizem Stored Cross-Site Scripting (XSS), uma técnica onde scripts maliciosos são armazenados permanentemente no servidor alvo. O problema ocorre através do parâmetro custom order no formulário de checkout para convidados. Um atacante pode injetar scripts web arbitrários que são executados quando um administrador visualiza o pedido afetado no painel de administração do WordPress.

Recomendações Atualize o Welcart e-Commerce plugin for WordPress para a versão 2.12.2 ou posterior. Como medida de mitigação temporária, restrinja o acesso ao formulário de checkout para convidados ou evite visualizar pedidos que contenham o parâmetro custom order até que a atualização seja aplicada.