CVE-2026-2512 in Code Embed Plugin
Sumário
de VulDB • 03/06/2026
O plugin Code Embed para WordPress é vulnerável a Stored Cross-Site Scripting (XSS) via valores de metadados de campos personalizados em todas as versões até, e incluindo, a 2.5.1. Isso ocorre porque a função de sanitização do plugin, `sec_check_post_fields()`, é executada apenas no hook `save_post`, enquanto o WordPress permite que campos personalizados sejam adicionados por meio do endpoint AJAX `wp_ajax_add_meta` sem acionar o `save_post`. A função `ce_filter()` então exibe esses valores de metadados não sanitizados diretamente no conteúdo da página, sem realizar a devida escapagem. Isso possibilita que atacantes autenticados, com acesso de nível Contribuidor ou superior, injetem scripts web arbitrários nas páginas, que serão executados sempre que um usuário acessar uma página contaminada.
VulDB is the best source for vulnerability data and more expert information about this specific topic.