Fuente base de datos: Wordfence Intelligence

reCAPTCHA for Asgaros Forum <= 1.1.0 - Authenticated (Subscriber+) Stored Cross-Site Scripting (Cross-Site Scripting (XSS)) - version 1.1.1

PLUGIN MEDIUM CVE-2026-57365

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

La extensión reCAPTCHA para Asgaros Forum presenta una vulnerabilidad de tipo XSS almacenado en versiones anteriores a 1.1.1. Esta falla permite a usuarios autenticados inyectar scripts maliciosos, comprometiendo la seguridad del foro y afectando la experiencia del usuario.

Contexto técnico

El fallo se localiza en el plugin reCAPTCHA para Asgaros Forum, afectando a usuarios autenticados con roles de suscriptor y superiores. La superficie de ataque se centra en formularios donde se puede introducir contenido no validado, permitiendo la ejecución de scripts en el navegador de otros usuarios.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la ejecución de código malicioso, afectando la integridad de los datos y la confianza de los usuarios en la plataforma. Esto podría resultar en pérdida de datos sensibles y daños a la reputación del negocio.

Vector de explotación

La vulnerabilidad se puede explotar mediante la inyección de scripts en campos de entrada de formularios, donde un atacante autenticado puede manipular el contenido enviado a otros usuarios.

Mitigación recomendada

Actualizar el plugin reCAPTCHA para Asgaros Forum a la versión 1.1.1 o superior. Revisar y validar todos los puntos de entrada de datos para evitar inyecciones de scripts. Implementar medidas de seguridad adicionales como Content Security Policy (CSP) para mitigar riesgos futuros.

Señales de detección

Monitorizar logs de actividad para detectar inyecciones de scripts y revisar configuraciones de seguridad del plugin.

Alcance afectado

La vulnerabilidad afecta a todas las versiones del plugin reCAPTCHA para Asgaros Forum hasta la 1.1.0. No se han confirmado casos en versiones posteriores a 1.1.1.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

fusion-builder

Avada Builder <= 3.15.5 - Authenticated (Contributor+) Stored Cross-Site Scripting via Module Title

MEDIUM PLUGIN

news-kit-elementor-addons

News Kit Addons For Elementor <= 1.4.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via Site Logo Title and Single Author Box Widgets

MEDIUM PLUGIN

customer-area

WP Customer Area <= 8.3.5 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'type' Shortcode Attribute

HIGH PLUGIN

document-gallery

Document Gallery <= 5.1.0 - Unauthenticated Stored Cross-Site Scripting

HIGH PLUGIN

ics-calendar

ICS Calendar <= 12.1.1 - Unauthenticated Stored Cross-Site Scripting

HIGH PLUGIN

wpzoom-portfolio

WPZOOM Portfolio Lite – Filterable Portfolio Plugin <= 1.4.29 - Unauthenticated Stored Cross-Site Scripting

HIGH PLUGIN

nex-forms-express-wp-form-builder

NEX-Forms – Ultimate Forms Plugin for WordPress <= 9.2.2 - Unauthenticated Stored Cross-Site Scripting

MEDIUM PLUGIN

supportcandy

SupportCandy – AI Customer Support Ticket System & Live Chatbot Agent <= 3.4.8 - Authenticated (Customer+) Stored Cross-Site Scripting

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto