Qué es y cómo funciona
Se trata de una vulnerabilidad de tipo Cross-Site Scripting (XSS) almacenado (CWE-79) en el plugin de WordPress MapSVG. La falla, catalogada como una Neutralización Impropia de Entrada Durante la Generación de Página Web, permite a un atacante inyectar y almacenar código JavaScript malicioso dentro de los mapas vectoriales interactivos creados con el plugin. Cuando un usuario visita una página que contiene el mapa comprometido, el código se ejecuta en su navegador.
Productos y versiones afectadas
La vulnerabilidad afecta a todas las versiones del plugin MapSVG desde una versión inicial no especificada (n/a) hasta la versión 9.0.4 inclusive.
Impacto y probabilidad de explotación
El CVSS v3 le asigna una puntuación de 6.5 (Severidad Media). Según el análisis de exposición en internet, Shodan no reporta hosts detectados con esta vulnerabilidad, lo que sugiere un volumen bajo de objetivos directamente expuestos en la web pública. La técnica MITRE ATT&CK T1189 (Drive-by Compromise) está asociada a este tipo de ataque. El INCIBE-CERT de España clasifica su severidad como P (Prioridad).
| CVE | CVE-2026-125816 |
|---|---|
| Severidad | MEDIUM |
| CVSS | 6.5 / 10 |
| CWE | CWE-79 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.