CVE-2026-9729 in Push Notifications Plugin
Sumário
de VulDB • 24/07/2026
O plugin Webpushr Push Notifications para WordPress é vulnerável a Stored Cross-Site Scripting (XSS) por meio dos parâmetros 'webpushr_notification_title' e 'webpushr_notification_body' nas versões até, incluindo, 4.39.0. Isso ocorre devido à sanitização insuficiente de entrada na função save_send_notification_flag() e à falta de escape de saída na função wpp_notification_box(), que concatena valores brutos do post meta diretamente em contextos de atributos HTML e textarea. Isso permite que atacantes autenticados, com acesso nível contribuidor ou superior, injetem scripts web arbitrários nas páginas, os quais serão executados sempre que um usuário acessar uma página infectada.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.