Fuente base de datos: Wordfence Intelligence

Pinterest Site Verification plugin using Meta Tag <= 1.8 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'post_var'

PLUGIN MEDIUM CVE-2026-3142

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna.

Resumen ejecutivo

El plugin Pinterest Site Verification, versiones anteriores a 1.8, presenta una vulnerabilidad de tipo XSS almacenado que puede ser explotada por usuarios autenticados. Esta falla podría comprometer la seguridad de los datos del sitio y la integridad de la información del usuario.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja la variable 'post_var', permitiendo la inyección de scripts maliciosos por parte de usuarios con rol de suscriptor o superior. Esto se traduce en un vector de ataque que se activa al procesar entradas sin la debida sanitización.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la ejecución de scripts en el navegador de otros usuarios, comprometiendo la seguridad de la sesión y permitiendo el robo de información sensible. Esto puede tener repercusiones negativas en la reputación del negocio y la confianza del usuario.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando contenido malicioso a través de formularios del plugin, que luego se almacena y se muestra a otros usuarios sin la adecuada validación.

Mitigación recomendada

Actualizar el plugin Pinterest Site Verification a la versión 1.8 o superior para corregir la vulnerabilidad. Revisar y sanitizar adecuadamente todas las entradas de usuario en el plugin. Monitorear los logs de acceso para detectar comportamientos inusuales relacionados con la explotación de XSS.

Señales de detección

Señales a observar incluyen registros de errores relacionados con la ejecución de scripts no autorizados y cambios inusuales en los contenidos de las publicaciones del plugin.

Alcance afectado

Afecta a todas las versiones del plugin Pinterest Site Verification anteriores a la 1.8. No se han confirmado casos de explotación en versiones posteriores.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

wp-docs

WP Docs <= 2.2.9 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'wpdocs_options[icon_size]'

MEDIUM THEME

vantage

Vantage <= 1.20.32 - Authenticated (Contributor+) Stored Cross-Site Scripting via Gallery Block Text Content

MEDIUM PLUGIN

codecolorer

CodeColorer <= 0.10.1 - Unauthenticated Stored Cross-Site Scripting via 'class' attribute in 'cc' Comment Shortcode

MEDIUM PLUGIN

custom-new-user-notification

Custom New User Notification <= 1.2.0 - Authenticated (Administrator+) Stored Cross-Site Scripting via 'User Mail Subject' Setting

MEDIUM PLUGIN

customer-reviews-woocommerce

Customer Reviews for WooCommerce <= 5.101.0 - Reflected Cross-Site Scripting via 'crsearch'

MEDIUM PLUGIN

open-brain

OPEN-BRAIN <= 0.5.0 - Authenticated (Administrator+) Stored Cross-Site Scripting via 'API Key' Setting

MEDIUM PLUGIN

wp-google-map-plugin

WP Maps – Store Locator,Google Maps,OpenStreetMap,Mapbox,Listing,Directory & Filters <= 4.8.7 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'put_wpgm' Shortcode

MEDIUM PLUGIN

addons-for-elementor

Livemesh Addons by Elementor <= 9.0 - Missing Authorization to Authenticated (Subscriber+) Stored Cross-Site Scripting via Plugin Settings

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto