PT-2026-31104 · WordPress · Wavr Plugin

Zakaria · CVE-2026-5506 · Publicado 2026-04-08 · Atualizado 2026-04-13

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Name of the Vulnerable Software and Affected Versions Plugin Wavr para WordPress versões até e incluindo 0.2.6

Description O plugin Wavr para WordPress é suscetível a Cross-Site Scripting Persistente (Stored XSS) através do shortcode wave. A sanitização e o escape de saída insuficientes de atributos fornecidos pelo usuário permitem que invasores autenticados com acesso de nível de colaborador ou superior injetem scripts web arbitrários em páginas. Esses scripts serão executados quando um usuário acessar a página injetada.

Recommendations Atualize o plugin Wavr para uma versão mais recente que 0.2.6.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-5506

Produtos afetados

Wavr Plugin

Referências · 8

• https://twitter.com/cyberbivash/status/2041804206110110150 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2043561061199077579 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/wavr/tags/0.2.6/wavr.php#L99 · Nota
• https://plugins.trac.wordpress.org/browser/wavr/tags/0.2.6/wavr.php#L82 · Nota
• https://plugins.trac.wordpress.org/browser/wavr/trunk/wavr.php#L99 · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/d8987bc5-2bc0-4a92-bcf0-cc3245e15bed?source=cve · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-5506 · Nota de Segurança
• https://plugins.trac.wordpress.org/browser/wavr/trunk/wavr.php#L82 · Nota