Posts Table with Search & Sort · plugin de tabelas de posts
Quem tem uma conta de Colaborador no site pode gravar, numa tabela de posts, um código que roda no navegador de quem abre a página. Só preocupa sites que dão contas a pessoas de fora da equipe.
Você mesmo
- Conferir em Usuários quem tem papel de Colaborador ou superior.
- Instalar a próxima atualização do plugin assim que sair.
Seu dev ou hospedagem
- Procurar shortcodes [posts_table] com date_format incomum em posts de colaboradores.
- Aplicar Content-Security-Policy restringindo scripts inline.
Detalhes técnicos: O Posts Table with Search & Sort, da Barn2, até a versão 1.4.14 tem uma falha de cross-site scripting armazenado no parâmetro ‘date_format’. Um usuário autenticado com papel de Colaborador ou superior pode injetar scripts que rodam quando outros usuários abrem as páginas afetadas; a técnica remonta as tags HTML na renderização e contorna o filtro de conteúdo do WordPress (CVSS 6.4, Wordfence). Não há versão corrigida informada. Não há relato de exploração ativa.
Dados técnicos
CVE-2026-118189 · CVSS 6,4 · Fonte: Wordfence (via OffSeq Threat Radar)