https://alertas.dupin.com.ar/fabricante/stiofansisland/Alertas de vulnerabilidades de stiofansisland.esFri, 06 Nov 2026 10:11:19 +000010https://alertas.dupin.com.ar/cve/CVE-2026-120671/tg:63673Fri, 06 Nov 2026 10:11:19 +0000VulnerabilidadEl plugin UsersWP para WordPress, en todas las versiones hasta la 1.2.80 inclusive, es vulnerable a cross-site scripting almacenado a través del parámetro 'badge' por sanitización de entrada y escape de salida insuficientes. Esto permite a atacantes autenticados con nivel contributor o superior inyectar scripts web arbitrarios en páginas que se ejecutan cuando un usuario accede a la página inyectada. El exploit es especialmente efectivo contra usuarios con mayores privilegios, como editors y administrators, que…https://alertas.dupin.com.ar/cve/CVE-2026-119980/tg:62424Sat, 31 Oct 2026 07:51:45 +0000VulnerabilidadEl plugin UsersWP para WordPress deriva la contraseña compartida de sus 25 cuentas de usuario dummy de los primeros 15 caracteres de un hash SHA256 de AUTH_KEY y site_url(), mientras el valor completo de ese mismo hash se incluye en el campo oculto uwp_register_hash de cada formulario de registro. Esto permite a atacantes no autenticados recuperar la contraseña dummy desde una sola respuesta del formulario, accesible vía /register/ y el handler AJAX wp_ajax_nopriv_uwp_ajax_register_form incluso con el registro…https://alertas.dupin.com.ar/cve/CVE-2026-111110/tg:59586Sat, 17 Oct 2026 09:17:09 +0000VulnerabilidadEl plugin GetPaid para WordPress, en versiones hasta la 2.8.61, es vulnerable a XSS almacenado mediante el parámetro 'mmdwqzpoxadd' por sanitización de entrada y escape de salida insuficientes. Atacantes no autenticados pueden inyectar scripts arbitrarios que se ejecutan cuando un usuario accede a la página afectada; el nonce requerido se expone públicamente a todos los visitantes y el payload se dispara cuando un administrador ve el metabox Payment Form Details de la factura afectada.