PT-2026-42075 · WordPress · Faces Of Users

Zakaria · Publicado 2026-05-20 · Atualizado 2026-05-28 · CVE-2026-8038

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Faces of Users versões anteriores a 0.0.4

Descrição O plugin Faces of Users para WordPress contém um problema de Cross-Site Scripting Armazenado. Isso ocorre devido à sanitização de entrada e escape de saída insuficientes no atributo default do shortcode 'facesofusers'. Atacantes autenticados com nível de acesso de Colaborador (Contributor) ou superior podem injetar scripts web arbitrários em páginas, que são executados quando um usuário visita a página afetada.

Recomendações Atualize o plugin para uma versão posterior a 0.0.3. Como medida paliativa temporária, restrinja o uso do atributo default no shortcode 'facesofusers' para usuários com nível de acesso de Colaborador.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-8038

Produtos afetados

Faces Of Users

Referências · 6

• https://wordfence.com/threat-intel/vulnerabilities/id/ea39d249-0345-4028-af58-31b298376950?source=cve · Nota
• https://t.me/CVEtracker/54323 · Publicação no Telegram
• https://plugins.trac.wordpress.org/browser/faces-of-users/trunk/faces-of.php#L62 · Nota
• https://plugins.trac.wordpress.org/browser/faces-of-users/tags/0.0.3/faces-of.php#L62 · Nota
• https://reddit.com/r/StopBadBots/comments/1tqd1k6/critical_38_plugins_no_fix_no_mercy_if_youve_got · Publicação no Reddit
• https://nvd.nist.gov/vuln/detail/CVE-2026-8038 · Nota de Segurança