Vulnerabilidades en plugins de WordPress: 6 plugins, incluido User Frontend

Se hicieron públicas siete vulnerabilidades en seis plugins de WordPress entre el 6 y el 7 de noviembre de 2026. La más grave es un fallo de autorización incorrecta en WP Data Access (CVSS 8.1) que puede permitir a los atacantes apropiarse de la cuenta de administrador. Las otras seis son fallos de cross-site scripting (XSS) almacenado con una puntuación CVSS 7.2, que pueden explotar atacantes no autenticados. No se informa de que ninguna de ellas se esté explotando activamente.

WP Data Access (10.000 instalaciones activas)

Los endpoints de escritura de WP Data Access no aplican los filtros de filas ni las restricciones de columnas que sí se aplican a los endpoints de lectura. Los atacantes autenticados con acceso de nivel Subscriber o superior pueden escribir en filas y columnas arbitrarias, incluida la contraseña del administrador en wp_users, y luego iniciar sesión como administrador. La explotación requiere una Data App publicada que habilite las transacciones de escritura para suscriptores; si dicha aplicación permite el acceso anónimo, los atacantes no autenticados también pueden explotarla. Todas las versiones hasta la 5.5.89 inclusive están afectadas (CVE-2026-118267, CVSS 8.1); actualice a la versión más reciente.

User Frontend (20.000 instalaciones activas)

El plugin User Frontend (Membership, User Registration, User Profile, User Directory & Content Restriction with Frontend Post Submission) contiene un fallo de XSS almacenado en el parámetro del campo de taxonomía que los atacantes no autenticados pueden usar para inyectar scripts en las páginas. La explotación requiere un campo Taxonomy en modo de entrada de texto y el envío de entradas por invitados habilitado en al menos un formulario de la interfaz pública. Todas las versiones hasta la 4.3.13 inclusive están afectadas (CVE-2026-109214, CVSS 7.2); actualice a la versión más reciente.

WP Visitor Statistics (Real Time Traffic) (20.000 instalaciones activas)

Dos fallos de XSS almacenado permiten a los atacantes no autenticados inyectar scripts a través del endpoint público de seguimiento de visitas. Los scripts se ejecutan en el navegador del administrador cuando se consultan las estadísticas. CVE-2026-109230 (el parámetro 'browser') afecta a las versiones hasta la 8.7.1 inclusive, y CVE-2026-111370 (los parámetros 'os', 'browser' y 'res') afecta a las versiones hasta la 8.9.0 inclusive; ambas tienen una puntuación CVSS 7.2. Actualice a la versión más reciente, que debe ser posterior a la 8.9.0, o desactive y elimine el plugin si no hay ninguna actualización disponible.

GeoDirectory (10.000 instalaciones activas)

GeoDirectory – WP Business Directory Plugin and Classified Listings Directory contiene un fallo de XSS almacenado en el parámetro 'post_content'. Los atacantes no autenticados pueden usar shortcodes anidados para eludir el filtrado de shortcodes del plugin e inyectar scripts. Todas las versiones hasta la 2.8.200 inclusive están afectadas (CVE-2026-120082, CVSS 7.2); actualice a la versión más reciente.

Graphina – Charts and Graphs For Elementor (9.000 instalaciones activas)

Graphina contiene un fallo de XSS almacenado en la configuración de gráficos, como la familia tipográfica del nodo del gráfico de árbol. Según el aviso, los atacantes no autenticados pueden inyectar scripts que la sanitización de Elementor no elimina. Todas las versiones hasta la 3.1.13 inclusive están afectadas (CVE-2026-110291, CVSS 7.2); actualice a la versión más reciente.

Flying Images (2.000 instalaciones activas)

Flying Images: Optimize and Lazy Load Images for Faster Page Speed contiene un fallo de XSS almacenado en el parámetro 'comment' que los atacantes no autenticados pueden explotar. Con la configuración predeterminada, el primer comentario necesita aprobación, pero los comentarios posteriores con el mismo nombre y correo electrónico eluden la moderación, y el script inyectado se ejecuta para todos los visitantes, incluidos los administradores. Todas las versiones hasta la 2.4.15 inclusive están afectadas (CVE-2026-119175, CVSS 7.2); actualice a la versión más reciente.

Cómo comprobar sus sitios

Abra Plugins > Plugins instalados en el panel de WordPress de cada sitio y busque los plugins indicados arriba y sus números de versión. Con WP-CLI, ejecute "wp plugin list" para ver los plugins instalados, sus versiones y las actualizaciones disponibles, y después actualice con "wp plugin update ". Los slugs son wp-data-access, wp-user-frontend, wp-stats-manager, geodirectory, graphina-elementor-charts-and-graphs y nazy-load. Si no hay una versión corregida disponible para un plugin que utilice, desactívelo y elimínelo hasta que se publique una actualización.

Fuentes

• https://nvd.nist.gov/vuln/detail/CVE-2026-109214
• https://nvd.nist.gov/vuln/detail/CVE-2026-109230