CVE-2026-118050 Cross-site scripting (XSS) almacenado en Football Pool vía mensaje del Shoutbox
El plugin Football Pool para WordPress es vulnerable a XSS almacenado por el parámetro 'shouttext' en versiones hasta la 2.13.5, por sanitización y escape de salida insuficientes. Atacantes autenticados con nivel Subscriber o superior pueden inyectar scripts web arbitrarios; el script inyectado solo se ejecuta en la vista de edición de shouts del administrador, ya que el widget público y la vista de lista del admin codifican la salida con Football_Pool_Utils::xssafe().
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 23
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
antoineh Football Pool
hasta 2.13.5
Qué hacer
- Verificá si usás Football Pool y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 6.4 MEDIA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceCambiado
- ConfidencialidadBaja
- IntegridadBaja
- DisponibilidadNinguna
Descripción original
The Football Pool plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'shouttext' parameter in all versions up to, and including, 2.13.5 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The injected script only fires in the admin Edit view for a shout; the public Shoutbox widget and the admin list view both encode output via Football_Pool_Utils::xssafe(), making the admin Edit view the sole unescaped sink.
Referencias (6)
- www.wordfence.com/threat-intel/vulnerabilities/id/ac3e048d-9ebd-41c2-9dbd-751adae10380?so…
- plugins.trac.wordpress.org/browser/football-pool/tags/2.13.5/admin/class-football-pool-ad…
- plugins.trac.wordpress.org/browser/football-pool/tags/2.13.5/admin/class-football-pool-ad…
- plugins.trac.wordpress.org/browser/football-pool/tags/2.13.5/classes/class-football-pool-…
- plugins.trac.wordpress.org/browser/football-pool/tags/2.13.5/widgets/widget-football-pool…
- plugins.trac.wordpress.org/changeset?reponame=&old=3775727%40football-pool&new=3775727%40…
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.