https://alertas.dupin.com.ar/fabricante/jetmonsters/Alertas de vulnerabilidades de jetmonsters.esSat, 07 Nov 2026 12:57:48 +000010https://alertas.dupin.com.ar/cve/CVE-2026-111317/tg:63945Sat, 07 Nov 2026 12:57:48 +0000VulnerabilidadEl plugin JetFormBuilder para WordPress es vulnerable a XSS almacenado por el parámetro de nombre de campo de formulario (por ejemplo 'payload') en versiones hasta la 3.6.7, por sanitización y escape de salida insuficientes. Atacantes no autenticados pueden inyectar scripts web arbitrarios; la explotación requiere que el formulario objetivo tenga habilitada la acción Save Form Record y un preset de Form Record configurado, y el payload se ejecuta cuando un usuario privilegiado visita el formulario con la variable…https://alertas.dupin.com.ar/cve/CVE-2026-121977/tg:63939Sat, 07 Nov 2026 12:57:40 +0000VulnerabilidadEl plugin JetFormBuilder para WordPress es vulnerable a XSS almacenado por el parámetro de campo de formulario cuyo valor se escribe en el post meta note en versiones hasta la 3.6.8, por sanitización y escape de salida insuficientes. Atacantes no autenticados pueden inyectar scripts web arbitrarios; la explotación requiere que un usuario privilegiado con la capacidad edit_others_posts visite una URL de formulario con el ID de publicación creado por el atacante, entregable mediante un enlace de phishing.https://alertas.dupin.com.ar/cve/CVE-2026-120741/tg:63862Sat, 07 Nov 2026 04:35:57 +0000VulnerabilidadEl plugin MotoPress Appointment Booking Lite para WordPress es vulnerable a cross-site scripting almacenado en versiones hasta la 2.4.8 mediante el endpoint REST público '/motopress/appointment/v1/customers/create'. El parámetro 'name' no se sanitiza antes de escribirse en la tabla wp_mpa_customers ni se escapa en el listado de reservas del administrador cuando el usuario no tiene la capacidad 'mpa_edit_customer'. Atacantes no autenticados pueden inyectar scripts que se ejecutan cuando un usuario accede a la…https://alertas.dupin.com.ar/cve/CVE-2026-120561/tg:62890Tue, 03 Nov 2026 06:03:19 +0000VulnerabilidadEl plugin JetFormBuilder para WordPress es vulnerable a modificación no autorizada de datos por falta de verificación de capacidades en la función 'do_action' de la clase de acción 'Update_Options' en todas las versiones hasta la 3.6.2 inclusive. Atacantes no autenticados pueden modificar valores de la página de opciones de JetEngine cuando un administrador configuró un formulario con la acción posterior al envío "Update Options". Requiere que JetFormBuilder y JetEngine estén instalados y activos y que un…https://alertas.dupin.com.ar/cve/CVE-2026-103912/tg:58035Sat, 10 Oct 2026 06:35:25 +0000VulnerabilidadEl plugin JetFormBuilder es vulnerable a cross-site scripting DOM reflejado mediante una variable de consulta elegida por el atacante que coincide con el query_var de un preset, por sanitización y escape insuficientes. Atacantes no autenticados pueden inyectar scripts si logran que un usuario haga clic en un enlace. Afecta versiones hasta la 3.6.6 inclusive.