Fuente base de datos: Wordfence Intelligence

Mandatory Field <= 1.6.8 - Authenticated (Administrator+) Stored Cross-Site Scripting via Settings Fields

PLUGIN MEDIUM CVE-2026-1278

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Mandatory Field en versiones anteriores a la 1.6.8. Esta vulnerabilidad permite a un administrador autenticado inyectar scripts maliciosos a través de los campos de configuración del plugin.

Contexto técnico

El fallo se produce debido a la falta de validación y escape adecuado de los datos introducidos en los campos de configuración del plugin. Esto permite que un atacante con privilegios de administrador pueda almacenar scripts maliciosos que se ejecutarán en el navegador de otros usuarios que visiten las páginas afectadas.

Impacto potencial

El impacto potencial incluye la posibilidad de robo de información sensible, manipulación de sesiones de usuario y la inyección de contenido malicioso en el sitio web, lo que podría afectar la reputación y la confianza de los usuarios en la plataforma.

Vector de explotación

La explotación se realiza cuando un administrador malintencionado introduce código JavaScript en los campos de configuración del plugin, lo que provoca que dicho código se ejecute en el contexto de otros usuarios que accedan a las páginas afectadas.

Mitigación recomendada

Actualizar el plugin Mandatory Field a la versión 1.6.8 o superior. Además, se recomienda revisar los campos de configuración para eliminar cualquier script malicioso que pueda haberse almacenado previamente.

Señales de detección

Señales de riesgo incluyen la presencia de scripts inusuales en el código fuente de las páginas generadas por el plugin, así como reportes de comportamiento extraño por parte de los usuarios.

Alcance afectado

Las versiones del plugin Mandatory Field anteriores a la 1.6.8 son las afectadas. Se recomienda evaluar todas las instalaciones que utilicen este plugin.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

quick-adsense-reloaded

Quads Ads Manager for Google AdSense <= 2.0.98.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via Multiple Ad Metadata Parameters

MEDIUM PLUGIN

bwl-advanced-faq-manager-lite

BWL Advanced FAQ Manager Lite <= 1.1.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'sbox_id' Shortcode Attribute

MEDIUM PLUGIN

bakkbone-florist-companion

FloristPress for Woo <= 7.8.2 - Reflected Cross-Site Scripting via 'noresults' Parameter

MEDIUM PLUGIN

shortpixel-image-optimiser

ShortPixel Image Optimizer <= 6.4.3 - Authenticated (Author+) Stored Cross-Site Scripting via Attachment Title

HIGH PLUGIN

blackhole-bad-bots

Blackhole for Bad Bots <= 3.8 - Unauthenticated Stored Cross-Site Scripting via User-Agent HTTP Header

MEDIUM PLUGIN

simple-download-counter

Simple Download Counter <= 2.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'text' Shortcode Attribute

MEDIUM PLUGIN

complianz-gdpr

Complianz – GDPR/CCPA Cookie Consent <= 7.4.4.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via Content Filter

HIGH PLUGIN

fluent-booking

Fluent Booking <= 2.0.01 - Unauthenticated Stored Cross-Site Scripting via Multiple Parameters

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto