PT-2026-33430 · WordPress · Videozen
CVE-2026-6439
·
Publicado
2026-04-17
·
Atualizado
2026-04-24
CVSS v3.1
4.4
Média
| Vetor | AV:N/AC:H/PR:H/UI:N/S:C/C:L/I:L/A:N |
Name of the Vulnerable Software and Affected Versions
VideoZen versões anteriores a 1.0.2
Description
O plugin VideoZen para WordPress contém um problema de Stored Cross-Site Scripting causado por sanitização de entrada e escape de saída insuficientes na função
videozen conf(). O parâmetro POST lang é armazenado via update option() sem sanitização e posteriormente exibido dentro de um elemento sem o uso de esc textarea() ou funções de escape semelhantes. Isso permite que atacantes autenticados com nível de acesso de Administrador ou superior injetem scripts web arbitrários na página de configurações do plugin, que são executados quando qualquer usuário visita essa página.Recommendations
Atualize para uma versão posterior a 1.0.1.
Como medida paliativa temporária, restrinja o acesso à página de configurações do plugin para minimizar o risco de exploração.
Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Videozen