¿Qué es la vulnerabilidad?
Se trata de una vulnerabilidad de tipo Cross-site Scripting (XSS) almacenado (CWE-79) en el plugin PublishPress Gutenberg Blocks (también conocido como advanced-gutenberg). La falla permite a atacantes inyectar scripts maliciosos que se ejecutan automáticamente cuando los usuarios visitan páginas comprometidas.
Productos y versiones afectadas
La vulnerabilidad afecta a todas las versiones del plugin hasta la 3.7.6. No se especifica una versión inicial afectada en los datos disponibles.
Impacto y explotación
Con un CVSS de 6.5, esta vulnerabilidad tiene un impacto moderado-alto. Según Shodan, actualmente hay 0 hosts indexados expuestos en internet, lo que sugiere un volumen bajo de objetivos directamente accesibles. La técnica MITRE ATT&CK asociada es T1189 – Drive-by Compromise. INCIBE-CERT de España clasifica la severidad como P (moderada).
¿Qué hacer?
Los usuarios del plugin deben actualizar inmediatamente a una versión posterior a la 3.7.6, una vez que esté disponible el parche oficial.
| CVE | CVE-2026-121721 |
|---|---|
| Severidad | MEDIUM |
| CVSS | 6.5 / 10 |
| CWE | CWE-79 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.