PT-2026-36597 · WordPress · Total

Publicado 2026-05-02 · Atualizado 2026-05-02 · CVE-2026-5077

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Total theme for WordPress versões anteriores a 2.2.2

Descrição O Cross-Site Scripting Armazenado é possível através de títulos de postagens devido à escape de saída insuficiente ao renderizar a função the title() dentro do contexto de atributo HTML no template da seção de blog da página inicial. Atacantes autenticados com nível de acesso de contribuidor ou superior podem injetar scripts web arbitrários em páginas. Esses scripts são executados quando um usuário acessa uma página injetada, desde que a postagem maliciosa seja publicada e exibida com uma imagem destacada na seção de blog da Página Inicial.

Recomendações Atualize para uma versão posterior a 2.2.1.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-5077

Produtos afetados

Total

Referências · 7

• https://t.me/CVEtracker/52518 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2050523099842433217 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/b1749bef-0952-4530-b607-4574765d2700?source=cve · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-5077 · Nota de Segurança
• https://themes.trac.wordpress.org/changeset/320590/total · Nota
• https://twitter.com/infoflowcloud/status/2050524557899878546 · Publicação no Twitter
• https://t.me/cveNotify/161858 · Publicação no Telegram