CVE-2026-84281

Nome do Software Vulnerável e Versões Afetadas Fancy Product Designer versões anteriores a 6.5.3

Descrição A sanitização de entrada e a filtragem de saída insuficientes permitem que invasores não autenticados realizem Stored Cross-Site Scripting. Isso ocorre quando a ação AJAX fpd save order, registrada via wp ajax nopriv fpd save order, é utilizada sem verificações de nonce ou de capacidade. Invasores podem ignorar a sanitização strip tags() enviando sequências de escape unicode JSON na variável productTitle dentro do Order Item Meta fpd data. Essas sequências são convertidas de volta em colchetes angulares literais pelo json decode() quando o pedido é renderizado na visualização do administrador, resultando na execução de scripts web arbitrários quando um usuário acessa a página afetada.

Recomendações Atualize para uma versão posterior à 6.5.2.