PT-2026-43490 · WordPress · Splide Carousel Block

Zast.Ai · Publicado 2026-05-27 · Atualizado 2026-06-04 · CVE-2026-9022

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Splide Carousel Block versões anteriores a 1.7.2

Description O plugin Splide Carousel Block para WordPress contém um problema de Cross-Site Scripting Armazenado causado por sanitização de entrada e escape de saída insuficientes. Atacantes autenticados com nível de acesso de contribuidor ou superior podem injetar scripts web arbitrários através do atributo de bloco url. Esses scripts são executados quando um usuário acessa a página afetada. Para que a carga útil seja executada para os visitantes do site, a postagem deve primeiro ser aprovada e publicada por um editor ou administrador.

Recommendations Atualize o plugin para uma versão posterior a 1.7.1. Como mitigação temporária, restrinja a capacidade de usuários com nível de acesso de contribuidor de modificar o atributo de bloco url.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-9022

Produtos afetados

Splide Carousel Block

Referências · 7

• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=3537643%40splide-carousel&new=3537643%40splide-carousel&sfp_email=&sfph_mail= · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-9022 · Nota de Segurança
• https://plugins.trac.wordpress.org/browser/splide-carousel/tags/1.7.1/build/carousel-item/index.js#L1 · Nota
• https://t.me/CVEtracker/55065 · Publicação no Telegram
• https://plugins.trac.wordpress.org/browser/splide-carousel/tags/1.7.1/build/carousel/view.js#L1 · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/268f2ae1-5360-4ec5-bcd9-dc3ab11396dc?source=cve · Nota
• https://twitter.com/atomicedgeWAF/status/2062440679913971890 · Publicação no Twitter