Resumo: O plugin WP Ultimate Review, até a versão 2.4.3, não valida corretamente um valor antes de passá-lo para do_shortcode (CVSS 5.4). Um usuário autenticado com nível de assinante ou superior pode usar o escape de colchetes duplos ([[tag]]), que a própria função strip_shortcodes() do WordPress transforma em [tag], para gravar shortcodes que são executados quando a avaliação pública é exibida. O impacto depende dos shortcodes disponíveis no site, mas pode expor dados ou acionar funções de outros plugins.
Fonte: TheHackerWire / Wordfence Intelligence
O que fazer: Atualize o WP Ultimate Review para uma versão posterior à 2.4.3. Se o site permite cadastro aberto de usuários, avalie desativar o registro público (Configurações > Geral > “Qualquer pessoa pode se registrar”) e revise as avaliações (tipo de post xs_review) recentes em busca de shortcodes inesperados.