https://alertas.dupin.com.ar/fabricante/shapedplugin/Alertas de vulnerabilidades de shapedplugin.esSat, 07 Nov 2026 12:57:59 +000010https://alertas.dupin.com.ar/cve/CVE-2026-120685/tg:63952Sat, 07 Nov 2026 12:57:59 +0000VulnerabilidadEl plugin Real Testimonials para WordPress es vulnerable a XSS almacenado por los parámetros 'tpro_client_image' (leyenda IPTC de JPEG) y 'tpro_client_testimonial' (shortcode [gallery]) en versiones hasta la 4.1.0, por sanitización y escape de salida insuficientes. Atacantes no autenticados pueden inyectar scripts web arbitrarios; requiere que un administrador tenga el bloque de visualización con la opción Strip All HTML Tags deshabilitada y haya aprobado los testimonios enviados.https://alertas.dupin.com.ar/cve/CVE-2026-120509/tg:63942Sat, 07 Nov 2026 12:57:45 +0000VulnerabilidadEl plugin Real Testimonials para WordPress es vulnerable a XSS almacenado por el parámetro 'tpro_client_name' en versiones hasta la 4.1.0, por sanitización y escape de salida insuficientes. Atacantes no autenticados pueden inyectar scripts web arbitrarios; la explotación requiere que un administrador publique el testimonio enviado, active el handler AJAX Show Preview y guarde una actualización, que persiste el payload como título de la vista Manage.https://alertas.dupin.com.ar/cve/CVE-2026-119160/tg:62446Sat, 31 Oct 2026 10:22:04 +0000VulnerabilidadEl plugin Smart Post para WordPress no sanea ni escapa el parámetro 'display_name', permitiendo a atacantes autenticados con nivel Subscriber o superior inyectar scripts en páginas que se ejecutan al visitarlas. La explotación requiere que la página víctima contenga un bloque Author Filter junto con un bloque de grilla o filtro en vivo, y se activa al hacer clic en la entrada del autor.