Fuente base de datos: Wordfence Intelligence

immonex Kickstart <= 1.13.0 - Authenticated (Contributor+) Stored Cross-Site Scripting

PLUGIN MEDIUM CVE-2026-31918

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Immonex Kickstart, afectando a las versiones hasta la 1.13.0. Este fallo permite a usuarios autenticados con rol de contribuidor o superior inyectar scripts maliciosos, lo que podría comprometer la seguridad del sitio.

Contexto técnico

La vulnerabilidad se presenta en el plugin Immonex Kickstart, permitiendo a un atacante autenticado (con rol Contributor+) ejecutar código JavaScript en el contexto de otros usuarios a través de entradas no sanitizadas. Esto se traduce en un vector de ataque que puede ser explotado mediante formularios o campos de entrada en el panel de administración.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el navegador de otros usuarios, lo que podría llevar al robo de información sensible o la manipulación de sesiones. Esto no solo afecta la integridad de los datos, sino que también puede dañar la reputación del negocio.

Vector de explotación

La explotación se realiza mediante la inyección de scripts en campos de entrada que no están debidamente validados, lo que permite que el código malicioso se ejecute cuando otros usuarios acceden a la página afectada.

Mitigación recomendada

Actualizar el plugin Immonex Kickstart a la versión 1.13.4 o superior para corregir la vulnerabilidad. Revisar y sanitizar todas las entradas de usuario en el plugin para prevenir futuras inyecciones. Implementar políticas de seguridad en el contenido (CSP) para mitigar el riesgo de XSS en el futuro.

Señales de detección

Señales a observar incluyen registros de actividad de usuarios que muestran comportamientos inusuales, como la inyección de scripts en formularios, así como cambios inesperados en la configuración del plugin.

Alcance afectado

Las versiones del plugin Immonex Kickstart hasta la 1.13.0 están afectadas. No se han confirmado casos en versiones posteriores a la 1.13.4.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

wp-docs

WP Docs <= 2.2.9 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'wpdocs_options[icon_size]'

MEDIUM THEME

vantage

Vantage <= 1.20.32 - Authenticated (Contributor+) Stored Cross-Site Scripting via Gallery Block Text Content

MEDIUM PLUGIN

codecolorer

CodeColorer <= 0.10.1 - Unauthenticated Stored Cross-Site Scripting via 'class' attribute in 'cc' Comment Shortcode

MEDIUM PLUGIN

custom-new-user-notification

Custom New User Notification <= 1.2.0 - Authenticated (Administrator+) Stored Cross-Site Scripting via 'User Mail Subject' Setting

MEDIUM PLUGIN

customer-reviews-woocommerce

Customer Reviews for WooCommerce <= 5.101.0 - Reflected Cross-Site Scripting via 'crsearch'

MEDIUM PLUGIN

open-brain

OPEN-BRAIN <= 0.5.0 - Authenticated (Administrator+) Stored Cross-Site Scripting via 'API Key' Setting

MEDIUM PLUGIN

wp-google-map-plugin

WP Maps – Store Locator,Google Maps,OpenStreetMap,Mapbox,Listing,Directory & Filters <= 4.8.7 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'put_wpgm' Shortcode

MEDIUM PLUGIN

addons-for-elementor

Livemesh Addons by Elementor <= 9.0 - Missing Authorization to Authenticated (Subscriber+) Stored Cross-Site Scripting via Plugin Settings

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto