¿Qué es y cómo funciona la falla?
La vulnerabilidad CVE-2026-125711 es un Cross-Site Scripting Almacenado (Stored XSS) que afecta a una extensa familia de plugins de WordPress desarrollados por el mismo autor, todos relacionados con la visualización de widgets de reseñas de diferentes plataformas (Google, Tripadvisor, Booking.com, etc.). La falla reside en que estos plugins no sanitizan ni escapan correctamente los detalles del negocio conectado antes de mostrarlos en los widgets. Esto permite a un atacante con privilegios de Editor o superior inyectar código JavaScript malicioso que se ejecutará en el navegador de otros usuarios (como visitantes o administradores) que visiten la página donde se muestra el widget comprometido. La explotación es posible incluso en configuraciones donde la capacidad unfiltered_html está deshabilitada, como en una instalación multisitio.
Productos y versiones afectadas
La vulnerabilidad afecta a numerosos plugins de la serie "Widgets for Reviews" en versiones anteriores a la 14.3. La lista incluye, entre otros:
- Widgets for Google Reviews
- WP Tripadvisor Review Widgets
- Widgets for Booking.com Reviews
- Widgets for Reviews & Recommendations
- Widgets for Airbnb Reviews
- Widgets for Yelp Reviews
- Widgets for Amazon Reviews
- Widgets for Thumbtack Reviews
- Widgets for Ebay Reviews
- Widgets for Zillow Reviews
- Widgets for Capterra Reviews
- Widgets for Expedia Reviews
- Widgets for Opentable Reviews
- Widgets for WordPress Reviews
- Widgets for Hotels.com Reviews
- Review Widgets for Szallas.hu
- Widgets for AliExpress Reviews
- Widgets for Árukereső Reviews
- Widgets for Foursquare Reviews
- Widgets for Alibaba Reviews
- Widgets for SourceForge Reviews
Impacto y probabilidad de explotación
El impacto principal es que un usuario malintencionado con acceso de editor puede secuestrar sesiones de administradores, redirigir a los visitantes a sitios maliciosos o defacear el sitio web. Según datos de Shodan, actualmente no hay hosts indexados detectados con esta vulnerabilidad, lo que sugiere un volumen bajo de objetivos expuestos directamente en internet. El INCIBE-CERT de España ha clasificado la severidad de esta vulnerabilidad como P (Prioritaria).
¿Qué hacer?
La mitigación es directa: los administradores de sitios que utilicen cualquiera de estos plugins deben actualizarlos inmediatamente a la versión 14.3 o superior, donde el desarrollador ha corregido la falta de sanitización y escape de los datos.
| CVE | CVE-2026-125711 |
|---|---|
| Severidad | HIGH |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).