CVE-2026-107648 Cross-site scripting almacenado no autenticado en WP Sessions Time Monitoring Full Automatic hasta 1.1.5

Qué es CVE-2026-107648

El plugin WP Sessions Time Monitoring Full Automatic para WordPress, hasta la versión 1.1.5 inclusive, es vulnerable a XSS almacenado mediante el parámetro action (y también function, plugin, post_type, post_status, ids, loggedout y el POST post_title) por saneamiento y escape insuficientes. Esto permite a atacantes no autenticados inyectar scripts en páginas que se ejecutan al visitarlas.

Productos y versiones afectadas

• switcorp WP Sessions Time Monitoring Full Automatic

  • hasta 1.1.5

Qué hacer

1. Verificá si usás WP Sessions Time Monitoring Full Automatic y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 7.2 ALTA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Cambiado

CONFIDENCIALIDAD (C)

Baja

INTEGRIDAD (I)

Baja

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

The WP Sessions Time Monitoring Full Automatic plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'action (also function, plugin, post_type, post_status, ids, loggedout, and POST post_title)' parameter in all versions up to, and including, 1.1.5 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

Referencias

• www.wordfence.com/threat-intel/vulnerabilities/id/9edc25d5-10a0-4d5c-aa29-41fad5e29ae9?so…
• plugins.trac.wordpress.org/browser/activitytime/trunk/application/views/actt_current_acti…
• plugins.trac.wordpress.org/browser/activitytime/trunk/application/controllers/Actt_curren…
• plugins.trac.wordpress.org/browser/activitytime/trunk/includes/class-activitytime-tracker…
• plugins.trac.wordpress.org/browser/activitytime/trunk/includes/helper-functions.php#L340
• plugins.trac.wordpress.org/browser/activitytime/trunk/vendor/Winter_MVC/core/helpers.php#…

Historial de la alerta

1. 16 OCT · 09:23VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.