Qué es y cómo funciona
La vulnerabilidad CVE-2026-125833 es un Cross-site Scripting almacenado (Stored XSS) en el plugin YITH WooCommerce Ajax Product Filter. Se debe a una neutralización incorrecta de entradas durante la generación de páginas web (CWE-79), permitiendo a atacantes inyectar y almacenar scripts maliciosos que se ejecutan cuando otros usuarios visitan la página afectada.
Productos y versiones afectadas
Afecta a YITH WooCommerce Ajax Product Filter desde versiones iniciales hasta la 5.24.0.
Impacto y explotación
Con un CVSS de 6.5, esta vulnerabilidad podría ser aprovechada para comprometer navegadores de usuarios mediante técnicas como T1189 – Drive-by Compromise. Shodan reporta 0 hosts expuestos en internet, lo que sugiere un bajo volumen de objetivos visibles externamente. INCIBE-CERT la clasifica con severidad P (moderada).
Qué hacer
Los usuarios deben actualizar el plugin a una versión posterior a la 5.24.0 para mitigar el riesgo.
| CVE | CVE-2026-125833 |
|---|---|
| Severidad | MEDIUM |
| CVSS | 6.5 / 10 |
| CWE | CWE-79 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.