MDTF – Meta Data and Taxonomies Filter · plugin de filtros de busca
Um visitante sem login pode deixar gravado um código que roda no navegador de quem abre a página de resultados do filtro. Se for um administrador, o invasor pode agir em nome dele.
Você mesmo
- Se não usar o filtro, desativar o plugin.
- Se usar, considerar tirar o shortcode [meta_data_filter_results] das páginas até sair a correção.
- Instalar a próxima atualização assim que sair.
Seu dev ou hospedagem
- Bloquear no WAF valores com HTML/JavaScript no parâmetro vars.
- Aplicar Content-Security-Policy restringindo scripts inline.
Detalhes técnicos: O MDTF – Meta Data and Taxonomies Filter até a versão 1.4.1 tem uma falha de cross-site scripting armazenado no parâmetro ‘vars’, por falta de sanitização de entrada e escape de saída. Um invasor sem login pode injetar scripts que rodam quando usuários visitam páginas com o shortcode [meta_data_filter_results] (CVSS 7.2, Wordfence). Não há versão corrigida informada. Não há relato de exploração ativa.
Dados técnicos
CVE-2026-110776 · CVSS 7,2 · Fonte: Wordfence (via OffSeq Threat Radar)