CVE-2026-104754 Cross-site scripting almacenado en Rank Math SEO

Qué es CVE-2026-104754

El plugin Rank Math SEO no escapa un valor de origen de redirección almacenado antes de mostrarlo en una vista de lista administrativa, permitiendo a usuarios que gestionan redirecciones almacenar JavaScript que se ejecuta en la sesión de quien abra esa vista, incluido un Super Administrator en multisitio. Corregido antes de la 1.0.280.

Productos y versiones afectadas

• Rank Math SEO

  • hasta antes de 1.0.280

Qué hacer

1. Verificá si usás Rank Math SEO y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 3.5 BAJA

CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:L/I:L/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Altos

INTERACCIÓN DEL USUARIO (UI)

Requerida

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Baja

INTEGRIDAD (I)

Baja

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

The Rank Math SEO WordPress plugin before 1.0.280 does not escape a stored redirection source value before outputting it in an administrative list view, allowing users who can manage redirections (Administrators by default) to store JavaScript that executes in the session of any user who later opens that view, including a Super Administrator on multisite.

Referencias

• wpscan.com/vulnerability/bd680571-b6de-446d-b503-2d36b8ffc7f0/EXPLOIT · VDB-ENTRY · TECHNICAL-DESCRIPTION

Historial de la alerta

1. 10 OCT · 03:35VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.