CVE-2019-25744

El plugin Popup Builder hasta la versión 3.49 tiene una vulnerabilidad de cross-site scripting persistente que permite a usuarios autenticados inyectar scripts arbitrarios al eludir las restricciones de las etiquetas de opción en el parámetro post_title. Un atacante podría crear solicitudes POST maliciosas dirigidas al endpoint post.php con código de script incrustado en el campo post_title, que luego se ejecutaría cuando la selección de popup aparezca en páginas o posts. Esta vulnerabilidad no ha sido corregida en ninguna versión posterior.

Basado en datos públicos de CVE (MITRE/NVD).