¿Qué es la vulnerabilidad?
Se trata de una vulnerabilidad de tipo Cross-site Scripting Almacenado (XSS) (CWE-79) en el plugin JetEngine de Crocoblock para WordPress. La falla permite la ejecución de scripts maliciosos en el contexto de las páginas web generadas por el plugin.
Productos y versiones afectadas
La vulnerabilidad afecta al plugin Crocoblock JetEngine desde versiones iniciales (no especificadas) hasta la versión 3.9.0.2.
Impacto y explotación
La vulnerabilidad tiene una severidad MEDIA (CVSS: 6.5) y actualmente no está incluida en el catálogo de vulnerabilidades explotadas activamente (KEV) de CISA. La probabilidad de explotación según EPSS es muy baja (0.0017).
| CVE | CVE-2026-123477 |
|---|---|
| Severidad | MEDIUM |
| CVSS | 6.5 / 10 |
| EPSS | 0.2% en 30 días (percentil 6) |
| CWE | CWE-79 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Técnica MITRE ATT&CK
T1189 – Drive-by Compromise
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.