CVE-2026-118204 Cross-site scripting almacenado en WP Data Access hasta 5.5.89 vía columna Image URL
El valor de una columna Image URL (por ejemplo, poblada desde wp_usermeta.description) no se sanea ni escapa correctamente. Atacantes autenticados con nivel Subscriber o superior pueden inyectar scripts que se ejecutan cuando un usuario accede a la página, siempre que un administrador haya publicado un shortcode DataTables sobre esa columna con el tipo de medio Image URL. Afecta a versiones hasta la 5.5.89 inclusive.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 9
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
peterschulznl WP Data Access – App Builder for Tables, Forms, Dashboards, Charts & Maps
hasta 5.5.89
Qué hacer
- Verificá si usás WP Data Access – App Builder for Tables, Forms, Dashboards, Charts & Maps y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 6.4 MEDIA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceCambiado
- ConfidencialidadBaja
- IntegridadBaja
- DisponibilidadNinguna
Descripción original
The WP Data Access – App Builder for Tables, Forms, Dashboards, Charts & Maps plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'ImageURL column value (populated from wp_usermeta.description in the demonstrated path)' parameter in all versions up to, and including, 5.5.89 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Exploitation requires an administrator to have published a DataTables shortcode over a database column the attacker controls (e.g., wp_usermeta.description) with the Image URL media type assigned to that column — both are supported plugin features but are not enabled by default.
Referencias (5)
- www.wordfence.com/threat-intel/vulnerabilities/id/64fedaf1-3edf-43e9-8521-95a5efa1c8f4?so…
- plugins.trac.wordpress.org/browser/wp-data-access/tags/5.5.88/WPDataAccess/Data_Tables/WP…
- plugins.trac.wordpress.org/browser/wp-data-access/tags/5.5.88/WPDataAccess/Data_Tables/WP…
- plugins.trac.wordpress.org/browser/wp-data-access/tags/5.5.88/includes/class-wp-data-acce…
- plugins.trac.wordpress.org/changeset?reponame=&new=3771310%40wp-data-access%2Ftags%2F5.5…
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.