CVE-2026-84280

Nome do Software Vulnerável e Versões Afetadas Fancy Product Designer versões anteriores a 6.5.3

Descrição A sanitização insuficiente de entrada e a falta de escape de saída permitem que atacantes não autenticados realizem Stored Cross-Site Scripting. Isso ocorre quando o parâmetro elements[].title em um pedido de shortcode é processado. O payload injetado é gravado no Document Object Model (DOM) via innerHTML dentro do manipulador de evento JavaScript beforeElementAdd(). A execução acontece quando um administrador revisa os pedidos de shortcode no painel administrativo do WordPress.

Recomendações Atualize para a versão 6.5.3 ou posterior. Como mitigação temporária, restrinja o acesso à seção de revisão de pedidos de shortcode no painel administrativo do WordPress.