CVE-2026-120515 Cross-site scripting almacenado en SEOPress hasta 10.3 vía ajustes de Google Analytics
Los ajustes seopress_google_analytics_affiliate_tracking y seopress_google_analytics_download_tracking no se sanean ni escapan correctamente al insertarse en el snippet inline de Google Analytics. Atacantes autenticados con nivel Subscriber o superior pueden inyectar scripts que se ejecutan cuando un usuario accede a la página. Afecta a versiones hasta la 10.3 inclusive.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 10
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
rainbowgeek SEOPress – AI SEO Plugin & On-site SEO
hasta 10.3
Qué hacer
- Verificá si usás SEOPress – AI SEO Plugin & On-site SEO y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 6.4 MEDIA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceCambiado
- ConfidencialidadBaja
- IntegridadBaja
- DisponibilidadNinguna
Descripción original
The SEOPress – AI SEO Plugin & On-site SEO plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'seopress_google_analytics_affiliate_tracking' and 'seopress_google_analytics_download_tracking' settings in versions up to, and including, 10.3. This is due to insufficient input sanitization and output escaping on these settings as they are interpolated into the inline Google Analytics tracking snippet by seopress_google_analytics_js(): the affiliate value receives no sanitization at all (it is omitted from inc/admin/sanitize/Sanitize.php) and lands inside a <script> block, while the download value is only passed through sanitize_text_field() and lands inside a JavaScript regular-expression literal that preserves parentheses, semicolons and slashes. This makes it possible for authenticated attackers, with Subscriber-level access and above (where an administrator has delegated the SEOPress 'analytics' capability under Settings > Advanced > Security — the precondition Wordfence accepted for CVE-2026-101357), to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Referencias (7)
- www.wordfence.com/threat-intel/vulnerabilities/id/10a13871-c98e-4785-ab41-18e548e07c05?so…
- plugins.trac.wordpress.org/browser/wp-seopress/tags/10.3/inc/functions/options-google-ana…
- plugins.trac.wordpress.org/browser/wp-seopress/tags/10.3/inc/functions/options-google-ana…
- plugins.trac.wordpress.org/browser/wp-seopress/tags/10.3/src/Actions/Api/Options/Analytic…
- plugins.trac.wordpress.org/browser/wp-seopress/tags/10.3/inc/admin/sanitize/Sanitize.php#…
- plugins.svn.wordpress.org/wp-seopress/trunk/
- plugins.trac.wordpress.org/browser/wp-seopress/tags/10.4/inc/functions/options-google-ana…
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.