O plug-in SUMO Reward Points para WordPress é vulnerável ao script de sites cruzados armazenados sem autenticação através do endpoint REST API `/wp-json/wc-srp/v 1 / gaining` em versões até, e incluindo, 32.7.0. Isto se deve ao filtro `user_has_cap` na classe `SRP_REST_Earning_Controller` que concede incondicionalmente a capacidade personalizada `rs_earning_read` a todos os usuários — incluindo visitantes não autênticos — combinada com a falta de sanização do parâmetro `razão` na função `create_items()` e a falta de saída de fuga no método `colonn_default()` do `SRP_Master_Log`. Isto torna possível que os atacantes não autenticados injetem scripts arbitrários na web no registro de pontos de recompensa que será executado sempre que um administrador acessar as páginas de administradores de pontos de recompensa do usuário ou do registro mestre. Registro de aconselhamento: GHSA- j 42 q- gjcw- f 29 h. Identificadores relacionados: CVE- 2026 - 7534.
Tempo: GitHub Advisory Database publicou este registro em 2026 - 07 - 23 T 06: 32: 13.000 Z e lista a sua última modificação como 2026 - 07 - 23 T 06: 32: 13.000 Z. Severidade: ALTAMENTE. Dados de pontuação publicados: CVSS_V 3: CVSS: 3.1 /AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N.
Software afetado: o registro de aconselhamento não fornece um pacote normalizado ou faixa de versões. Classificação e evidência: identificadores de fraqueza CWE- 79. O registro contém 3 suporte de referências nestes tipos: AVISO, WEB.