PT-2026-55508 · WordPress · Wpdiscuz

Mickeyjoe · Publicado 2026-07-03 · Atualizado 2026-07-03 · CVE-2026-9148

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas wpDiscuz versões anteriores a 7.6.57

Descrição Ocorre Cross-Site Scripting (XSS) Armazenado quando o plugin falha ao escapar adequadamente a saída na função getCommentAuthor(). Isso acontece porque o valor comment author url, fornecido no campo Website do comentarista convidado, é interpolado diretamente em atributos HTML entre aspas simples sem a aplicação de esc url() ou esc attr(). Um invasor não autenticado pode enviar um comentário manipulado contendo um payload malicioso no campo Website, que é então armazenado e executado no navegador de qualquer usuário, incluindo administradores, que acessar a página afetada. Isso pode levar ao sequestro de sessão, roubo de conta e manipulação de conteúdo.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-9148

Produtos afetados

Wpdiscuz

Referências · 13

• https://plugins.trac.wordpress.org/browser/wpdiscuz/tags/7.6.48/forms/wpdFormAttr/Tools/Sanitizer.php#L14 · Nota
• https://plugins.trac.wordpress.org/browser/wpdiscuz/tags/7.6.48/utils/class.WpdiscuzHelper.php#L1619 · Nota
• https://plugins.trac.wordpress.org/browser/wpdiscuz/tags/7.6.54/utils/class.WpdiscuzHelper.php#L1619 · Nota
• https://plugins.trac.wordpress.org/browser/wpdiscuz/tags/7.6.48/utils/class.WpdiscuzHelper.php#L1615 · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/f509f1c6-6094-434d-8e70-ad8419250aa2?source=cve · Nota
• https://plugins.trac.wordpress.org/browser/wpdiscuz/tags/7.6.54/forms/wpdFormAttr/Tools/Sanitizer.php#L14 · Nota
• https://plugins.trac.wordpress.org/browser/wpdiscuz/tags/7.6.54/forms/wpdFormAttr/Field/DefaultField/Website.php#L119 · Nota
• https://twitter.com/UpwindMDR/status/2073008744347169011 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/wpdiscuz/tags/7.6.48/forms/wpdFormAttr/Field/DefaultField/Website.php#L119 · Nota
• https://plugins.trac.wordpress.org/changeset/3563675/wpdiscuz/trunk/utils/class.WpdiscuzHelper.php · Nota
• https://plugins.trac.wordpress.org/browser/wpdiscuz/tags/7.6.54/utils/class.WpdiscuzHelper.php#L1615 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-9148 · Nota de Segurança
• https://plugins.trac.wordpress.org/changeset?old_path=%2Fwpdiscuz/tags/7.6.56&new_path=%2Fwpdiscuz/tags/7.6.57 · Nota