Resumo: O CMB2, biblioteca de metaboxes e campos personalizados muito usada por temas e plugins, tem uma falha de XSS armazenado no tipo de campo “file_list” até a versão 2.13.0 (CVSS 7.2). A exploração só é possível quando um tema ou plugin expõe um campo file_list em formulário público ou em metabox de usuário, já que o CMB2 não exibe esses campos por padrão. Mesmo assim, como a biblioteca vem embutida em muitos produtos, vale verificar.
Fonte: TheHackerWire / Wordfence Intelligence
O que fazer: Atualize o plugin CMB2 para uma versão posterior à 2.13.0. Se o CMB2 vier embutido em um tema ou plugin, verifique com o desenvolvedor se a biblioteca já foi atualizada. Desenvolvedores devem revisar formulários de front-end que usam campos file_list.