Vulnerabilidad · Publicado 21/10/2026
El plugin Jane Menu para WordPress anterior a la versión 1.5.1 contiene una vulnerabilidad de validación que permite a atacantes no autenticados vincular páginas publicadas a documentos remotos maliciosos e inyectar código JavaScript arbitrario. Esta falla afecta directamente a sitios web empresariales, e-commerce y plataformas de contenido en México y Latinoamérica que utilizan este plugin, exponiendo datos de usuarios y comprometiendo la integridad del sitio.
The Jane Menu WordPress plugin before 1.5.1 does not have any capability or nonce checks on one of its form handlers, which is reachable by unauthenticated users, allowing them to bind any published page to a remote document of their choosing. The plugin then fetches that document and outputs its head and body into the page without escaping, so an unauthenticated attacker can run arbitrary JavaScript in the browser of any visitor to that page, including an administrator.
Score: 8.8/10 — Severidad: HIGH — Estado NIST: Received
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CWE-79
Publicado en NIST NVD.