UsersWP · login, cadastro e perfis
Quem tem uma conta de Colaborador no site pode gravar um código que roda no navegador de quem abre a página, inclusive do administrador. Só preocupa sites que dão contas a pessoas de fora da equipe.
Você mesmo
- Atualizar o UsersWP para a versão 1.2.81 ou mais recente.
- Conferir em Usuários quem tem papel de Colaborador ou superior.
Seu dev ou hospedagem
- Procurar HTML ou scripts inesperados nos metadados de badge dos usuários.
- Aplicar Content-Security-Policy restringindo scripts inline.
Detalhes técnicos: O UsersWP até a versão 1.2.80 tem uma falha de cross-site scripting armazenado no parâmetro ‘badge’, por falta de sanitização de entrada e escape de saída. Um usuário autenticado com papel de Colaborador ou superior pode gravar scripts que rodam quando outros usuários, inclusive editores e administradores, abrem as páginas afetadas (CVSS 6.4, Wordfence). A versão 1.2.81 (03/11) sanitiza a saída do badge para evitar XSS armazenado. Não há relato de exploração ativa.
Dados técnicos
CVE-2026-120671 · CVSS 6,4 · Fonte: Wordfence (via OffSeq Threat Radar)