CVE-2026-120509 Cross-site scripting (XSS) almacenado en Real Testimonials vía el parámetro 'tpro_client_name'
El plugin Real Testimonials para WordPress es vulnerable a XSS almacenado por el parámetro 'tpro_client_name' en versiones hasta la 4.1.0, por sanitización y escape de salida insuficientes. Atacantes no autenticados pueden inyectar scripts web arbitrarios; la explotación requiere que un administrador publique el testimonio enviado, active el handler AJAX Show Preview y guarde una actualización, que persiste el payload como título de la vista Manage.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 23
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
shapedplugin Real Testimonials – Testimonial Slider, Collect Customer Reviews and Video Testimonials
hasta 4.1.0
Qué hacer
- Verificá si usás Real Testimonials – Testimonial Slider, Collect Customer Reviews and Video Testimonials y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 4.7 MEDIA
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N
- Vector de ataqueRed
- Complejidad del ataqueAlta
- Privilegios requeridosNinguno
- Interacción del usuarioRequerida
- AlcanceCambiado
- ConfidencialidadBaja
- IntegridadBaja
- DisponibilidadNinguna
Descripción original
The Real Testimonials – Testimonial Slider, Collect Customer Reviews and Video Testimonials plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'tpro_client_name' parameter in all versions up to, and including, 4.1.0 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Successful exploitation requires an administrator to publish the submitted testimonial, trigger the Show Preview AJAX handler, and save an Update, which canonicalizes and persists the attacker-controlled payload as the Manage View title — matching the plugin's standard moderation workflow. Successful exploitation additionally requires an action by an administrator — the attacker cannot trigger the vulnerability on their own.
Referencias (7)
- www.wordfence.com/threat-intel/vulnerabilities/id/f3c52521-763b-4618-8d8f-fc1f49554be2?so…
- plugins.trac.wordpress.org/browser/testimonial-free/tags/4.1.0/src/Frontend/Helper.php#L3…
- plugins.trac.wordpress.org/browser/testimonial-free/tags/4.1.0/src/Frontend/Views/partial…
- plugins.trac.wordpress.org/browser/testimonial-free/tags/4.1.0/src/Admin/Views/Framework/…
- plugins.trac.wordpress.org/browser/testimonial-free/tags/4.1.0/src/Admin/Views/Framework/…
- plugins.trac.wordpress.org/changeset/3781836/testimonial-free
- plugins.trac.wordpress.org/changeset/3781836/testimonial-free/trunk/src/Frontend/Helper.p…
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.