CVE-2026-4025

WordPress için geliştirilen PrivateContent Free eklentisi, 1.2.0 dahil tüm sürümlerinde [pc-login-form] kısa kodundaki 'align' kısa kod özniteliği üzerinden Depolanan Siteler Arası Betik Çalıştırma (Stored XSS) zafiyetine sahiptir. Bu durum, 'align' özniteliği üzerindeki yetersiz girdi temizleme ve çıktı kaçış işlemlerinden kaynaklanmaktadır. Spesifik olarak, öznitelik değeri kısa koddan pc_login_form() fonksiyonuna, oradan da pc_static::form_align() fonksiyonuna aktarılmakta ve burada esc_attr() veya herhangi bir kaçış işlemi uygulanmadan doğrudan bir HTML sınıf özniteliğine eklenmektedir. Bu durum, Katılımcı (Contributor) seviyesi ve üzeri erişime sahip kimliği doğrulanmış saldırganların, sayfalara rastgele web betikleri yerleştirmesine olanak tanır ve bu betikler, bir kullanıcı etkilenen sayfaya her eriştiğinde çalıştırılır.