CVE-2026-87915

Nome do Software Vulnerável e Versões Afetadas Popup Maker versões anteriores a 1.24.1

Descrição O plugin está sujeito a Stored Cross-Site Scripting (XSS), uma falha onde scripts maliciosos são armazenados permanentemente no servidor alvo. Atacantes não autenticados podem injetar scripts web arbitrários através do parâmetro values[Name] devido à sanitização de entrada e escape de saída insuficientes. Esses scripts são executados sempre que um usuário acessa uma página afetada. O problema ocorre porque a sanitização wp kses é insuficiente, permitindo que entidades HTML dentro de valores de atributos persistam e sejam avaliadas pelo sink jQuery(link.attr('href')) no arquivo wp-admin/js/common.js quando uma âncora de aba de ajuda contextual é clicada.

Recomendações Atualize para uma versão posterior a 1.24.0.