CVE-2026-84909

Nome do Software Vulnerável e Versões Afetadas Custom Twitter Feeds – A Tweets Widget or X Feed Widget versões anteriores a 2.8.1

Descrição A sanitização de entrada e a escape de saída insuficientes permitem que atacantes autenticados com nível de acesso de contribuidor ou superior realizem Stored Cross-Site Scripting. Isso é feito injetando scripts web arbitrários através do atributo de shortcode buttoncolor. O problema ocorre quando a opção ctf statuses support legacy shortcode está definida como true, o que acontece por padrão se o administrador configurar tokens de acesso com zero ou múltiplos feeds legados, ativando assim um caminho de código de atributo de shortcode legado não filtrado.

Recomendações Atualize o Custom Twitter Feeds – A Tweets Widget or X Feed Widget para a versão 2.8.1 ou posterior.