CVE-2026-97195 XSS almacenado en Secure Custom Fields
El plugin Secure Custom Fields antes de 6.9.8 no sanea una definición de campo persistida antes de emitir parte de ella como nombre de atributo HTML. Un usuario capaz de configurar sus campos puede almacenar una carga que se ejecuta como JavaScript en el navegador de cualquier usuario que vea una página que renderice el campo afectado; en multisitio, un administrador de sitio sin la capacidad unfiltered_html puede inyectar script en sesiones de otros usuarios. Corrige en 6.9.8.
CVSS 3.1 · PRELIMINAR
- Probabilidad de explotación · EPSS del 09/110,1 % · percentil 3
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Secure Custom Fields
hasta antes de 6.9.8
Qué hacer
- Verificá si usás Secure Custom Fields y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
Esta vulnerabilidad todavía no tiene vector CVSS publicado.
Descripción original
The Secure Custom Fields WordPress plugin before 6.9.8 does not sanitize a persisted field definition before emitting part of it as an HTML attribute name, allowing a user able to configure its fields to store a payload that executes as JavaScript in the browser of any user who views a page rendering the affected field, which on multisite lets a site administrator who lacks the unfiltered_html capability inject script into other users' sessions.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.