PT-2026-39946 · WordPress · Wp Seo Structured Data Schema

Publicado 2026-05-12 · Atualizado 2026-05-12 · CVE-2026-3604

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.9

Média

Vetor base

AV:N/AC:H/PR:L/UI:N/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas WP SEO Structured Data Schema versões anteriores a 2.8.2

Descrição O plugin está sujeito a Stored Cross-Site Scripting (XSS), uma falha onde scripts maliciosos são armazenados permanentemente no servidor alvo. Isso ocorre devido à sanitização de entrada e escape de saída insuficientes no parâmetro kcseo ative tab. Atacantes autenticados com nível de acesso de Colaborador (Contributor) ou superior podem injetar scripts web arbitrários em páginas, que são executados quando um usuário visita a página afetada.

Recomendações Atualize para uma versão posterior à 2.8.1. Como medida paliativa temporária, restrinja o acesso ao parâmetro kcseo ative tab para minimizar o risco de exploração.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-3604

Produtos afetados

Wp Seo Structured Data Schema

Referências · 7

• https://plugins.trac.wordpress.org/browser/wp-seo-structured-data-schema/trunk/lib/classes/KcSeoMetaData.php#L133 · Nota
• https://plugins.trac.wordpress.org/browser/wp-seo-structured-data-schema/tags/2.8.1/lib/classes/KcSeoMetaData.php#L133 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-3604 · Nota de Segurança
• https://wordfence.com/threat-intel/vulnerabilities/id/315fbc93-5af3-4fe9-b97a-a09957e54c97?source=cve · Nota
• https://plugins.trac.wordpress.org/browser/wp-seo-structured-data-schema/tags/2.8.1/lib/classes/KcSeoMetaData.php#L177 · Nota
• https://t.me/cveNotify/163221 · Publicação no Telegram
• https://plugins.trac.wordpress.org/browser/wp-seo-structured-data-schema/trunk/lib/classes/KcSeoMetaData.php#L177 · Nota