Qué es la vulnerabilidad
El tema Flatsome para WordPress es vulnerable a Cross-Site Scripting (XSS) almacenado a través de los atributos data-text-sec, data-title y title en bloques HTML personalizados. La falla se debe a una sanitización de entrada y escape de salida insuficientes.
Productos y versiones afectadas
Todas las versiones de Flatsome hasta la 3.20.12 inclusive están afectadas.
Impacto y explotación
Atacantes autenticados con permisos de colaborador o superiores pueden inyectar scripts arbitrarios que se ejecutan cuando un usuario visita la página comprometida. El payload evade la sanitización del servidor porque wp_kses_post permite atributos data-* globalmente. La vulnerabilidad tiene un CVSS de 6.4 y está clasificada con severidad P por INCIBE-CERT. Actualmente no hay hosts detectados en Shodan con esta vulnerabilidad.
Qué hacer
Los administradores deben actualizar el tema Flatsome a una versión posterior a la 3.20.12 tan pronto como esté disponible.
| CVE | CVE-2026-18742 |
|---|---|
| Severidad | MEDIUM |
| CVSS | 6.4 / 10 |
| CWE | CWE-79 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.