Fuente base de datos: Wordfence Intelligence

WP AutoBuzz <= 1.1.1 - Cross-Site Request Forgery to Stored Cross-Site Scripting via 'googleAccount' Parameter (Cross-Site Scripting (XSS))

PLUGIN MEDIUM CVE-2026-8911

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin WP AutoBuzz que permite la ejecución de scripts maliciosos a través de un ataque de Cross-Site Request Forgery (CSRF). Esta falla puede ser explotada mediante el parámetro 'googleAccount', afectando la integridad y seguridad del sitio web.

Contexto técnico

La vulnerabilidad se presenta como un fallo de tipo Cross-Site Scripting (XSS) que puede ser inducido por un ataque CSRF. Los atacantes pueden manipular solicitudes a través del parámetro 'googleAccount', lo que permite inyectar scripts dañinos en el contexto del usuario autenticado.

Impacto potencial

El impacto de esta vulnerabilidad puede comprometer la seguridad de los usuarios y la integridad del sitio, permitiendo a un atacante ejecutar acciones no autorizadas en nombre del usuario. Esto podría resultar en la pérdida de datos, robo de información sensible o daños a la reputación del negocio.

Vector de explotación

Suele explotarse mediante el envío de solicitudes maliciosas que el usuario autenticado no puede distinguir de las legítimas, facilitando la inyección de código malicioso.

Mitigación recomendada

Actualizar el plugin WP AutoBuzz a la versión 1.1.1 o superior para cerrar la vulnerabilidad. Revisar y reforzar la configuración de seguridad del sitio para prevenir ataques CSRF. Implementar medidas de validación y sanitización de entradas para mitigar riesgos de XSS.

Señales de detección

Señales a observar incluyen registros de solicitudes inusuales que utilizan el parámetro 'googleAccount' y cambios no autorizados en el contenido del sitio web.

Alcance afectado

La vulnerabilidad afecta a todas las versiones del plugin WP AutoBuzz anteriores a la 1.1.1. No se han confirmado casos en versiones posteriores.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

beaver-builder-lite-version

Beaver Builder Page Builder <= 2.10.2.2 - Authenticated (Author+) Stored Cross-Site Scripting via Button Module 'button' Parameter

HIGH PLUGIN

gdpr-cookie-consent

Cookie Banner for GDPR / CCPA <= 4.3.5 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'regionArray' Parameter

MEDIUM PLUGIN

hydra-booking

Hydra Booking <= 1.2.2 - Authenticated (Host+) Stored Cross-Site Scripting via 'first_name' Parameter

HIGH PLUGIN

gdpr-compliant-recaptcha-for-all-forms

Invisible Anti-Spam & CAPTCHA <= 5.1 - Unauthenticated Stored Cross-Site Scripting via 'action' Parameter

HIGH PLUGIN

meeting-scheduler-by-vcita

Online Booking & Scheduling Calendar for WordPress by vcita <= 4.6.0 - Unauthenticated Stored Cross-Site Scripting via REST API 'business_id' Parameter

MEDIUM PLUGIN

wp-photo-album-plus

WP Photo Album Plus < 9.2.04.003 - Authenticated (Subscriber+) Stored Cross-Site Scripting

HIGH PLUGIN

w3-total-cache

W3 Total Cache <= 2.10.3 - Unauthenticated Stored Cross-Site Scripting via Comment Author Name

HIGH PLUGIN

tourmaster

Tour Master - Tour Booking, Travel, Hotel < 5.4.8 - Unauthenticated Stored Cross-Site Scripting

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto