Fuente base de datos: Wordfence Intelligence

WP AutoBuzz <= 1.1.1 - Cross-Site Request Forgery to Stored Cross-Site Scripting via 'googleAccount' Parameter (Cross-Site Scripting (XSS))

PLUGIN MEDIUM CVE-2026-8911

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin WP AutoBuzz que permite la ejecución de scripts maliciosos a través de un ataque de Cross-Site Request Forgery (CSRF). Esta falla puede ser explotada mediante el parámetro 'googleAccount', afectando la integridad y seguridad del sitio web.

Contexto técnico

La vulnerabilidad se presenta como un fallo de tipo Cross-Site Scripting (XSS) que puede ser inducido por un ataque CSRF. Los atacantes pueden manipular solicitudes a través del parámetro 'googleAccount', lo que permite inyectar scripts dañinos en el contexto del usuario autenticado.

Impacto potencial

El impacto de esta vulnerabilidad puede comprometer la seguridad de los usuarios y la integridad del sitio, permitiendo a un atacante ejecutar acciones no autorizadas en nombre del usuario. Esto podría resultar en la pérdida de datos, robo de información sensible o daños a la reputación del negocio.

Vector de explotación

Suele explotarse mediante el envío de solicitudes maliciosas que el usuario autenticado no puede distinguir de las legítimas, facilitando la inyección de código malicioso.

Mitigación recomendada

Actualizar el plugin WP AutoBuzz a la versión 1.1.1 o superior para cerrar la vulnerabilidad. Revisar y reforzar la configuración de seguridad del sitio para prevenir ataques CSRF. Implementar medidas de validación y sanitización de entradas para mitigar riesgos de XSS.

Señales de detección

Señales a observar incluyen registros de solicitudes inusuales que utilizan el parámetro 'googleAccount' y cambios no autorizados en el contenido del sitio web.

Alcance afectado

La vulnerabilidad afecta a todas las versiones del plugin WP AutoBuzz anteriores a la 1.1.1. No se han confirmado casos en versiones posteriores.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

epaperflip-publisher

ePaperFlip Publisher <= 1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'publicationid' Shortcode Attribute

MEDIUM PLUGIN

wp-gdpr-cookie-consent

WP GDPR Cookie Consent <= 1.0.0 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'ninja_gdpr_ajax_actions' AJAX Action

MEDIUM PLUGIN

extra-settings-for-rocketchat

Extra Settings for RocketChat <= 0.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode Attributes

MEDIUM PLUGIN

wp-ultimate-map

WP-Ultimate-Map <= 1.1 - Cross-Site Request Forgery to Stored Cross-Site Scripting via 'zoom-level' Parameter

MEDIUM PLUGIN

wp-emoticon-rating

WP Emoticon Rating <= 1.0.1 - Cross-Site Request Forgery to Reflected Cross-Site Scripting via 'emo_settings' Parameter

MEDIUM PLUGIN

romancart-ecommerce

RomanCart Ecommerce <= 2.0.8 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode Attributes

MEDIUM PLUGIN

global-body-mass-index-calculator

Global Body Mass Index Calculator <= 1.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode Attributes

MEDIUM PLUGIN

360crest-themeone-tinymce-shortcodes

TinyMCE shortcode Addon <= 1.0.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'btnrel' Shortcode Attribute

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto