CVE-2026-93747

Nome do Software Vulnerável e Versões Afetadas wpForo Forum versões anteriores a 3.1.7

Description Ocorre Cross-Site Scripting Armazenado através do campo de perfil 'telegram' devido à sanitização de entrada e escape de saída insuficientes na ação profile update. O array bruto $ POST['data'] é copiado para uma variável $custom fields antes da execução das funções validate() e sanitize(); como estas funções operam apenas em uma referência $user paralela, $custom fields permanece não sanitizado ao ser persistido via update custom fields(). Durante a renderização, wpforo decode() reverte a codificação de entidades e o valor é exibido sem escape em field wrap profile(). Isso permite que atacantes autenticados, com nível de acesso de assinante ou superior, injetem scripts web arbitrários que serão executados sempre que um usuário acessar a página injetada.

Recommendations Atualize para uma versão posterior à 3.1.6. Como medida de mitigação temporária, restrinja o uso do campo de perfil 'telegram' até que a atualização seja aplicada.