CVE-2026-120685 Cross-site scripting (XSS) almacenado en Real Testimonials vía cadena de IPTC de JPEG y shortcode '[gallery]'
El plugin Real Testimonials para WordPress es vulnerable a XSS almacenado por los parámetros 'tpro_client_image' (leyenda IPTC de JPEG) y 'tpro_client_testimonial' (shortcode [gallery]) en versiones hasta la 4.1.0, por sanitización y escape de salida insuficientes. Atacantes no autenticados pueden inyectar scripts web arbitrarios; requiere que un administrador tenga el bloque de visualización con la opción Strip All HTML Tags deshabilitada y haya aprobado los testimonios enviados.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,4 % · percentil 29
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
shapedplugin Real Testimonials – Testimonial Slider, Collect Customer Reviews and Video Testimonials
hasta 4.1.0
Qué hacer
- Verificá si usás Real Testimonials – Testimonial Slider, Collect Customer Reviews and Video Testimonials y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 5.4 MEDIA
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:L/A:N
- Vector de ataqueRed
- Complejidad del ataqueAlta
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceCambiado
- ConfidencialidadBaja
- IntegridadBaja
- DisponibilidadNinguna
Descripción original
The Real Testimonials – Testimonial Slider, Collect Customer Reviews and Video Testimonials plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'tpro_client_image (JPEG IPTC caption) + tpro_client_testimonial ([gallery] shortcode)' parameter in all versions up to, and including, 4.1.0 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This requires an administrator to have the display block configured with the Strip All HTML Tags option disabled, which is the plugin's native setting for rendering formatted testimonial content, and to have approved the submitted testimonials.
Referencias (8)
- www.wordfence.com/threat-intel/vulnerabilities/id/756c203e-8fbe-46f0-8ae7-a3f2d005cd6f?so…
- plugins.trac.wordpress.org/browser/testimonial-free/tags/4.1.0/src/Blocks/Templates/templ…
- plugins.trac.wordpress.org/browser/testimonial-free/tags/4.1.0/src/Blocks/API/APIHelper.p…
- plugins.trac.wordpress.org/browser/testimonial-free/tags/4.1.0/src/Blocks/API/APIHelper.p…
- plugins.trac.wordpress.org/browser/testimonial-free/tags/4.1.0/src/Blocks/API/ManageAPI.p…
- plugins.trac.wordpress.org/browser/testimonial-free/tags/4.1.0/src/Blocks/Includes/Testim…
- plugins.trac.wordpress.org/changeset/3781836/testimonial-free
- plugins.trac.wordpress.org/changeset/3781836/testimonial-free/trunk/src/Blocks/Templates/…
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.