CVE-2026-2422

Nome do Software Vulnerável e Versões Afetadas WP Composer – The Easiest Page Builder versões anteriores a 1.0.6

Descrição Ocorre Cross-Site Scripting Armazenado através do shortcode pbwp raw shortcode. O manipulador do shortcode decodifica conteúdo codificado em Base64 e o exibe diretamente sem sanitização ou escape. Isso permite que atacantes autenticados com nível de acesso de Colaborador ou superior injetem scripts web arbitrários em páginas. Como a carga útil é codificada em Base64, ela ignora o KSES (um sistema de filtragem de conteúdo do WordPress) durante o processo de salvamento, pois a string codificada não contém caracteres HTML prejudiciais. Os scripts são executados sempre que um usuário visita a página afetada.

Recomendações Atualize o WP Composer – The Easiest Page Builder para a versão 1.0.6 ou posterior. Como mitigação temporária, restrinja o uso do shortcode pbwp raw shortcode.