CVE-2026-97315 Inyección de HTML sin autenticación en el correo de notificación del bloque Form de Responsive Blocks

Qué es CVE-2026-97315

El plugin Responsive Blocks de WordPress, anterior a la versión 2.3.0, no sanitiza ni escapa algunos valores enviados con su bloque Form antes de agregarlos al correo de notificación HTML que se envía al dueño del sitio. Esto permite a usuarios no autenticados inyectar HTML arbitrario, como enlaces de phishing, en ese correo.

Productos y versiones afectadas

• Responsive Blocks

  • hasta antes de 2.3.0

Qué hacer

1. Verificá si usás Responsive Blocks y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 5.4 MEDIA

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Requerida

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Baja

INTEGRIDAD (I)

Baja

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

The Responsive Blocks WordPress plugin before 2.3.0 does not sanitise or escape some of the values submitted with its Form block before adding them to the HTML notification email sent to the site owner, allowing unauthenticated users to inject arbitrary HTML, such as phishing links, into that email.

Referencias

• wpscan.com/vulnerability/83713678-7efc-4cfc-ba24-c624a1ef8622/EXPLOIT · VDB-ENTRY · TECHNICAL-DESCRIPTION

Historial de la alerta

1. 14 OCT · 08:50VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.