PT-2026-39961 · WordPress · Lifepress

Athiwat Tiprasaharn + 1 · Publicado 2026-05-12 · Atualizado 2026-05-12 · CVE-2026-6690

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas LifePress versões anteriores a 2.2.3

Descrição O plugin LifePress para WordPress contém um problema de Cross-Site Scripting (XSS) Armazenado. Isso ocorre porque a função wp ajax nopriv lp update mds é registrada sem verificações de capacidade ou verificação de nonce (um token único usado para prevenir falsificação de solicitações entre sites), e falha ao sanitizar adequadamente a entrada e escapar a saída ao renderizar o nome da série na página de configurações do administrador. Atacantes não autenticados podem explorar isso enviando scripts web arbitrários através do parâmetro 'n' da ação AJAX 'lp update mds', que são executados quando um usuário visita a página afetada.

Recomendações Atualize o plugin para uma versão posterior a 2.2.2. Como medida paliativa temporária, restrinja o acesso à ação AJAX 'lp update mds' ou ao parâmetro 'n' até que a atualização seja aplicada.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-6690

Produtos afetados

Lifepress

Referências · 6

• https://wordfence.com/threat-intel/vulnerabilities/id/4fa5b8a9-1683-4806-987d-527834f45d34?source=cve · Nota
• https://plugins.trac.wordpress.org/browser/lifepress/tags/2.2.2/includes/admin/class-admin-ajax.php#L110 · Nota
• https://plugins.trac.wordpress.org/browser/lifepress/tags/2.2.2/includes/class-metrics.php#L355 · Nota
• https://twitter.com/KaitanSecurity/status/2054131988362121510 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/lifepress/tags/2.2.2/includes/admin/class-admin-ajax.php#L25 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-6690 · Nota de Segurança