Qué es y cómo funciona la falla
La vulnerabilidad CVE-2026-125680 es un Cross-Site Scripting (XSS) almacenado (CWE-79) en el plugin de WordPress Bold Page Builder de Bold Themes. Esto significa que un atacante autenticado con permisos suficientes puede inyectar código JavaScript malicioso en el contenido de las páginas creadas con el constructor. Este código se almacena en la base de datos y se ejecuta en el navegador de cualquier usuario que visite la página comprometida.
Productos y versiones afectadas
La vulnerabilidad afecta a todas las versiones del plugin Bold Page Builder hasta la 5.9.11 inclusive.
Impacto y probabilidad de explotación
Con una puntuación CVSS de 6.5 (MEDIUM), el impacto principal es la ejecución de código arbitrario en el contexto de las víctimas, lo que podría llevar al robo de cookies de sesión, defacement de la web o redirección a sitios maliciosos. Al momento del reporte, NO figura en el catálogo KEV de CISA, lo que indica que no se tiene constancia de explotación activa generalizada.
Qué hacer
Los administradores de sitios WordPress que utilicen este plugin deben actualizarlo de inmediato a la última versión disponible posterior a la 5.9.11, tan pronto como el desarrollador publique un parche.
| CVE | CVE-2026-125680 |
|---|---|
| Severidad | MEDIUM |
| CVSS | 6.5 / 10 |
| CWE | CWE-79 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.