Fuente base de datos: Wordfence Intelligence

Easy Updates Manager <= 9.0.20 - Reflected Cross-Site Scripting via 'paged' Parameter en Stops Core Theme AND Plugin Updates (Cross-Site Scripting (XSS)) - version 9.0.21

PLUGIN MEDIUM CVE-2026-7660

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo XSS en el plugin Easy Updates Manager hasta la versión 9.0.20, que permite la ejecución de scripts maliciosos. Esto podría comprometer la seguridad del sitio web y afectar la integridad de los datos del usuario.

Contexto técnico

El fallo se produce a través del parámetro 'paged', que no valida adecuadamente la entrada del usuario, permitiendo la inyección de scripts. Esta vulnerabilidad se explota mediante solicitudes HTTP que manipulan este parámetro.

Impacto potencial

El impacto de esta vulnerabilidad puede incluir el robo de información sensible, la manipulación de la sesión del usuario y la posibilidad de que un atacante ejecute acciones no autorizadas en el contexto del usuario afectado. Esto puede dañar la reputación del negocio y generar pérdidas económicas.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes maliciosas que contienen scripts en el parámetro 'paged', lo que puede llevar a la ejecución de código en el navegador de la víctima.

Mitigación recomendada

Actualizar el plugin Easy Updates Manager a la versión 9.0.21 o superior para corregir la vulnerabilidad. Revisar y validar todas las entradas de usuario en el sitio web para prevenir inyecciones de scripts. Implementar políticas de seguridad de contenido (CSP) para mitigar el riesgo de XSS.

Señales de detección

Monitorear los registros de acceso en busca de solicitudes inusuales que manipulen el parámetro 'paged'. También se deben revisar los logs de errores del servidor para detectar posibles intentos de explotación.

Alcance afectado

Las versiones del plugin Easy Updates Manager anteriores a la 9.0.21 están afectadas. No se han confirmado casos en versiones posteriores o en instalaciones no actualizadas.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

printfriendly

Print, PDF, Email by PrintFriendly <= 5.5.10 - Authenticated (Administrator+) Stored Cross-Site Scripting via 'content_position_css' Parameter

MEDIUM PLUGIN

premium-addons-for-elementor

Premium Addons for Elementor <= 4.11.84 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'premium_tooltip_text' Parameter

MEDIUM PLUGIN

starboard-suite-reservation-calendars

Starboard Suite Reservation Calendars <= 3.1.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode Attributes

MEDIUM PLUGIN

themify-builder

Themify Builder <= 7.7.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'height_slider' Slider Module Field

MEDIUM PLUGIN

themify-builder

Themify Builder <= 7.7.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via Map Module 'b_width_map' Field

HIGH PLUGIN

form-vibes

Form Vibes <= 1.5.2 - Unauthenticated Stored Cross-Site Scripting via Contact Form 7 Form Field

HIGH PLUGIN

squirrly-seo

SEO Plugin by Squirrly SEO <= 14.0.0 - Unauthenticated Arbitrary Post Creation and Stored Cross-Site Scripting via savePost()

MEDIUM PLUGIN

wc-multivendor-marketplace

WCFM Marketplace <= 3.7.3 - Authenticated (Vendor+) Stored Cross-Site Scripting via Attachment 'post_title'

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto