CVE-2026-118983 Cross-site scripting (XSS) almacenado para colaboradores mediante bloques de Speakers y Cookies Policy en…
El plugin VikWidgetsLoader de WordPress, anterior a 1.12.3, no sanea ni escapa varios atributos de bloque antes de mostrarlos dentro de atributos HTML. Esto permite a usuarios con rol de colaborador almacenar JavaScript arbitrario que se ejecuta en el navegador de cualquier usuario que vea la entrada afectada, incluido el administrador o editor que revisa el envío pendiente.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 14
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
VikWidgetsLoader
hasta antes de 1.12.3
Qué hacer
- Verificá si usás VikWidgetsLoader y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 6.8 MEDIA
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:H
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosAltos
- Interacción del usuarioRequerida
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadAlta
Descripción original
The VikWidgetsLoader WordPress plugin before 1.12.3 does not sanitise or escape several block attributes before outputting them inside HTML attributes, allowing users with the Contributor role to store arbitrary JavaScript that executes in the browser of any user viewing the affected post, including the administrator or editor who reviews the pending submission.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.