Atualize esta semana
AI Engine · plugin de chatbot com IA
Vulnerável: antes da 3.9.2Seguro: 3.9.2 ou superior
Um visitante sem login pode deixar gravado no site um código que roda no navegador de quem abrir o conteúdo depois, inclusive de administradores.
Você mesmo
- Atualizar o AI Engine para a 3.9.2 ou mais recente.
- Conferir em Usuários se há administradores desconhecidos.
Seu dev ou hospedagem
- Aplicar uma Content Security Policy que limite scripts inline.
- Revisar conversas e registros salvos pelo chatbot em busca de tags script ou atributos on*.
Detalhes técnicos: O AI Engine antes da 3.9.2 tem uma falha de cross-site scripting armazenado (CVE-2026-123478, CVSS 7.1, Patchstack). Segundo o vetor CVSS, não exige login, mas depende de interação de outro usuário: o script gravado roda quando alguém abre a página ou tela onde o conteúdo aparece. A fonte não detalha o campo afetado. Não há exploração confirmada.
Dados técnicos
CVE-2026-123478 · CVSS 7,1 · Fonte: Patchstack (via OffSeq Threat Radar)