WP User Manager · plugin de cadastro e perfis
Quem tem uma conta simples no site pode gravar no próprio nome um código que roda no navegador de quem abre o perfil ou a lista de membros, inclusive do administrador. Preocupa principalmente sites com cadastro aberto.
Você mesmo
- Instalar a próxima atualização do WP User Manager assim que sair.
- Se o cadastro estiver aberto e não for essencial, considerar fechá-lo em Configurações > Geral até a correção.
- Conferir nomes de usuários recentes com caracteres estranhos.
Seu dev ou hospedagem
- Bloquear no WAF valores com tags HTML no campo name de /wp/v2/users.
- Aplicar Content-Security-Policy restringindo scripts inline.
- Auditar display_name, first_name e last_name em wp_users/wp_usermeta em busca de scripts.
Detalhes técnicos: O WP User Manager até a versão 2.10.2 tem uma falha de cross-site scripting armazenado no parâmetro “name” do endpoint REST de usuários. Um usuário autenticado com papel de Assinante ou superior pode contornar a sanitização do formulário do plugin enviando os dados direto pelo endpoint REST do núcleo e gravar scripts que rodam no navegador de quem abre as páginas afetadas (CVSS 6.4, Wordfence). O registro não informa versão corrigida. Não há relato de exploração ativa.
Dados técnicos
CVE-2026-120550 · CVSS 6,4 · Fonte: Wordfence (via OffSeq Threat Radar)