CVE-2026-2422 in WP Composer Plugin
Sumário
de VulDB • 19/09/2026
O plugin WP Composer – The Easiest Page Builder for WordPress está vulnerável a Stored Cross-Site Scripting (XSS) por meio do shortcode 'pbwp_raw_shortcode' em todas as versões até 1.0.5, inclusive. Isso ocorre porque o manipulador de shortcodes decodifica conteúdo codificado em Base64 e o exibe diretamente sem qualquer sanitização ou escape. Isso permite que atacantes autenticados com acesso nível Contribuidor (Contributor) ou superior injetem scripts web arbitrários nas páginas, os quais serão executados sempre que um usuário acessar uma página contaminada. A codificação Base64 permite que a payload contorne o filtro de conteúdo KSES do WordPress no momento da gravação, já que a string codificada não contém caracteres HTML prejudiciais.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.