wpDiscuz · plugin de comentários
Um visitante sem login pode deixar gravado um código que roda no navegador de quem abre a página de comentários. Se for um administrador, o invasor pode agir em nome dele.
Você mesmo
- Atualizar o wpDiscuz para a versão 7.6.74 ou mais recente (a 7.6.75 já está disponível).
- Limpar o cache do site e da CDN depois da atualização, como pede o fabricante.
- Conferir comentários recentes com conteúdo estranho.
Seu dev ou hospedagem
- Ativar regra de WAF contra XSS em envio de comentários.
- Aplicar Content-Security-Policy restringindo scripts inline.
- Procurar tags ou atributos on* em wp_comments e na tabela de metadados do wpDiscuz.
Detalhes técnicos: O wpDiscuz até a versão 7.6.73 tem uma falha de cross-site scripting armazenado (neutralização inadequada de entrada na geração da página). Segundo a Patchstack (CVSS 7.1, vetor AV:N/AC:L/PR:N/UI:R/S:C), não é preciso login, mas a exploração depende de alguma interação da vítima; o script injetado roda no contexto do site e pode levar a roubo de sessão. Corrigido na 7.6.74; a 7.6.75 (04/11) também protege os arquivos de cache de comentários. Não há relato de exploração ativa.
Dados técnicos
CVE-2026-119366 · CVSS 7,1 · Fonte: Patchstack (via OffSeq Threat Radar)