CVE-2026-86606 XSS almacenado no autenticado en iubenda anterior a 3.13.7
El plugin de WordPress iubenda anterior a 3.13.7 no escapa correctamente el contenido que reemite a través de su parser HTML incluido, lo que permite a usuarios no autenticados inyectar scripts web arbitrarios en páginas que se ejecutarán en la sesión de cualquier visitante que las vea, incluidos administradores autenticados.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 12
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
iubenda | All-in-one Compliance for GDPR / CCPA Cookie Consent + more
hasta antes de 3.13.7
Qué hacer
- Verificá si usás iubenda | All-in-one Compliance for GDPR / CCPA Cookie Consent + more y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 7.5 ALTA
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
- Vector de ataqueRed
- Complejidad del ataqueAlta
- Privilegios requeridosNinguno
- Interacción del usuarioRequerida
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadAlta
Descripción original
The iubenda | All-in-one Compliance for GDPR / CCPA Cookie Consent + more WordPress plugin before 3.13.7 does not properly escape content it re-emits through its bundled HTML parser, allowing unauthenticated users to inject arbitrary web scripts in pages that will execute in the session of any visitor viewing them, including logged in administrators.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.