CVE-2026-96752

Nome do Software Vulnerável e Versões Afetadas Zero Spam for WordPress versões anteriores a 5.7.11

Descrição A sanitização insuficiente de entrada e a escape inadequada de saída permitem que atacantes não autenticados realizem Stored Cross-Site Scripting (XSS). Isso ocorre por meio da integração com o Contact Form 7 quando uma requisição é enviada com uma chave de array POST aninhada contendo HTML ou JavaScript arbitrário. O PHP analisa o nome do campo como uma chave de array aninhada, que é então armazenada literalmente na coluna zerospam log.submission data caso a submissão seja marcada como spam devido à ausência do campo zerospam david walsh key. Isso permite a injeção de scripts web que são executados quando um usuário acessa a página afetada.

Recomendações Atualize para uma versão posterior à 5.7.10.