CVE-2026-16778

Nome do Software Vulnerável e Versões Afetadas Live Composer – Free WordPress Website Builder versões anteriores a 2.1.22

Description Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes no conteúdo do shortcode dslc module downloads output. Atacantes autenticados com nível de acesso de contribuidor ou superior podem injetar scripts web arbitrários em páginas. O problema ocorre porque a verificação wp kses post é ignorada quando a carga útil é armazenada como uma string serializada. Subsequentemente, o callback do shortcode reemite valores controlados pelo atacante sem escape no momento da renderização, afetando especificamente o view all link (atributo href), main heading title (corpo h2), button text (corpo da âncora) e button inline svg (corpo da âncora).

Recommendations Atualize o Live Composer – Free WordPress Website Builder para a versão 2.1.22 ou posterior.