PT-2026-31609 · WordPress · List Category Posts

Athiwat Tiprasaharn + 1 · Publicado 2026-04-09 · Atualizado 2026-04-09 · CVE-2026-3005

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Name of the Vulnerable Software and Affected Versions O plugin List category posts para WordPress versões até e incluindo 0.94.0

Description O plugin List category posts para WordPress é suscetível a Cross-Site Scripting Persistente através do shortcode 'catlist'. A sanitização e o escape de saída insuficientes em atributos fornecidos pelo usuário permitem que invasores autenticados com acesso de nível de colaborador ou superior injetem scripts web arbitrários em páginas. Esses scripts serão executados quando um usuário acessar a página injetada.

Recommendations Atualize para uma versão posterior a 0.94.0

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-3005

Produtos afetados

List Category Posts

Referências · 7

• https://nvd.nist.gov/vuln/detail/CVE-2026-3005 · Nota de Segurança
• https://twitter.com/CVEnew/status/2042302837556957262 · Publicação no Twitter
• https://twitter.com/infoflowcloud/status/2042304323065970702 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/1a93ff8a-364f-4ec4-9c32-208c7a3e1fc1?source=cve · Nota
• https://plugins.trac.wordpress.org/browser/list-category-posts/trunk/include/lcp-thumbnail.php#L95 · Nota
• https://twitter.com/cyberbivash/status/2042229364381700362 · Publicação no Twitter
• https://plugins.trac.wordpress.org/changeset/3482733 · Nota