Fuente base de datos: Wordfence Intelligence

Ultra Addons for Contact Form 7 <= 3.5.43 - Authenticated (Contributor+) Stored Cross-Site Scripting via Slider Attributes en Ultimate Addons FOR Contact Form 7 (Cross-Site Scripting (XSS)) - version 3.5.44

PLUGIN MEDIUM CVE-2026-12801

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Ultimate Addons for Contact Form 7, que afecta a versiones hasta la 3.5.43. Esta vulnerabilidad permite a un atacante autenticado inyectar scripts maliciosos, comprometiendo la seguridad del sitio.

Contexto técnico

El fallo se origina en los atributos del slider del plugin, permitiendo la inyección de código JavaScript a través de entradas manipuladas por usuarios con rol de contribuyente o superior. La superficie de ataque está limitada a usuarios autenticados que interactúan con el plugin.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la ejecución de scripts maliciosos en el navegador de otros usuarios, lo que podría llevar al robo de información sensible y a la manipulación del contenido del sitio. Esto afecta la confianza del usuario y puede tener repercusiones legales.

Vector de explotación

Generalmente, un atacante autenticado puede aprovechar esta vulnerabilidad al modificar los atributos del slider en el panel de administración, inyectando código JavaScript que se ejecutará en el contexto de otros usuarios que visiten el sitio.

Mitigación recomendada

Actualizar el plugin Ultimate Addons for Contact Form 7 a la versión 3.5.44 o superior. Revisar y limpiar cualquier entrada de usuario que pueda haber sido manipulada. Implementar medidas de seguridad adicionales, como la validación de entradas y el uso de Content Security Policy (CSP).

Señales de detección

Monitorear los logs de acceso para detectar patrones inusuales de actividad de usuarios autenticados, así como revisar los cambios en los atributos del slider del plugin.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 3.5.44. No se han confirmado casos de explotación activa en versiones posteriores.