https://alertas.dupin.com.ar/fabricante/secure-custom-fields/Alertas de vulnerabilidades de Secure Custom Fields.esSun, 08 Nov 2026 07:20:11 +000010https://alertas.dupin.com.ar/cve/CVE-2026-97195/tg:64028Sun, 08 Nov 2026 07:20:11 +0000VulnerabilidadEl plugin Secure Custom Fields antes de 6.9.8 no sanea una definición de campo persistida antes de emitir parte de ella como nombre de atributo HTML. Un usuario capaz de configurar sus campos puede almacenar una carga que se ejecuta como JavaScript en el navegador de cualquier usuario que vea una página que renderice el campo afectado; en multisitio, un administrador de sitio sin la capacidad unfiltered_html puede inyectar script en sesiones de otros usuarios. Corrige en 6.9.8.https://alertas.dupin.com.ar/cve/CVE-2026-97194/tg:64027Sun, 08 Nov 2026 07:20:11 +0000VulnerabilidadEl plugin Secure Custom Fields antes de 6.9.8 no realiza una comprobación de permiso de lectura al renderizar y formatear los valores de sus campos relacionales. Usuarios con acceso de edición de entradas (Contributor o superior) pueden revelar los títulos y estados no públicos de entradas no publicadas de otros usuarios. Corrige en 6.9.8.https://alertas.dupin.com.ar/cve/CVE-2026-97193/tg:64026Sun, 08 Nov 2026 07:20:10 +0000VulnerabilidadEl plugin Secure Custom Fields antes de 6.9.8 no verifica que un usuario pueda editar el objeto destino antes de escribir en él durante la sincronización bidireccional de relaciones. Usuarios con nivel contributor o superior pueden agregar o quitar una referencia a su propio objeto en entradas, usuarios o términos arbitrarios que no pueden editar de otro modo. Corrige en 6.9.8.https://alertas.dupin.com.ar/cve/CVE-2026-97192/tg:64025Sun, 08 Nov 2026 07:20:09 +0000VulnerabilidadEl plugin Secure Custom Fields antes de 6.9.8 no vuelve a aplicar las reglas de ubicación de sus grupos de campos al persistir valores enviados por la ruta de guardado del editor de entradas. Usuarios con nivel contributor o superior pueden escribir en sus propias entradas campos personalizados que el sitio restringió a administradores. Corrige en 6.9.8.