Qué es y cómo funciona
La vulnerabilidad CVE-2026-116753 es un Cross-Site Scripting (XSS) almacenado en el plugin Multi Step for Contact Form 7 para WordPress. Se debe a una sanitización de entrada y un escape de salida insuficientes en el parámetro multipart field name (array key). Esto permite a atacantes inyectar scripts web arbitrarios en páginas que ejecutarán su código cada vez que un usuario acceda a la página comprometida.
Requisitos para la explotación
La explotación exitosa requiere una configuración específica que no está activa por defecto:
- El formulario de Contact Form 7 objetivo debe tener habilitada la opción 'Save every step'.
- El plugin complementario 'Database for Contact Form 7' debe estar activo y con su opción de tabla 'Expandable' habilitada.
Impacto y severidad
La vulnerabilidad tiene una puntuación CVSS de 7.2 (Alta). Según la matriz MITRE ATT&CK, se asocia con la técnica T1189 – Drive-by Compromise. Un análisis de Shodan indica que actualmente hay 0 hosts indexados con esta vulnerabilidad detectada, lo que sugiere un volumen bajo de objetivos directamente expuestos en internet.
Productos y versiones afectadas
El plugin Multi Step for Contact Form 7 está afectado en todas las versiones hasta la 2.9.1 inclusive.
Qué hacer
Los administradores de sitios WordPress que utilicen este plugin deben actualizarlo a la versión más reciente disponible una vez que el desarrollador publique un parche. Como medida preventiva, se recomienda revisar que las opciones 'Save every step' y 'Expandable' del plugin de base de datos estén deshabilitadas si no son estrictamente necesarias.
| CVE | CVE-2026-116753 |
|---|---|
| Severidad | HIGH |
| CVSS | 7.2 / 10 |
| CWE | CWE-79 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.