CVE-2026-93339

Nome do Software Vulnerável e Versões Afetadas Metaphor Creations Ditty (ditty-news-ticker) versões anteriores a 3.1.70

Descrição Um problema de cross-site scripting armazenado permite que usuários autenticados com privilégios de nível de Autor ou superior injetem elementos HTML arbitrários. Isso ocorre porque a função ditty layout render tag wrapper() insere valores de atributos de wrapper diretamente como nomes de elementos HTML sem validação de lista de permissões. Esse processo ignora a sanitização wp kses post(), pois a sanitização ocorre durante o salvamento, antes que os atributos da tag de layout sejam resolvidos durante a renderização. Consequentemente, a carga útil injetada é executada no navegador de qualquer visitante que visualize postagens ou páginas que incorporem o item Ditty afetado.

Recomendações Atualize o Metaphor Creations Ditty (ditty-news-ticker) para a versão 3.1.70 ou posterior.