Vulnerabilidad · Publicado 11/10/2026
El plugin Subscribe to Comments para WordPress en versiones anteriores a 2.3.3 contiene una vulnerabilidad de Cross-Site Scripting (XSS) reflejado que permite a atacantes no autenticados inyectar código malicioso mediante parámetros sin validar. Un administrador o usuario podría ser comprometido al hacer clic en URLs manipuladas, exponiendo credenciales y sesiones activas. Este riesgo es alta en sitios WordPress mexicanos y latinoamericanos que usan este plugin para gestionar suscripciones a comentarios.
The Subscribe to Comments WordPress plugin before 2.3.3 does not properly validate a parameter before reflecting it into a link target, allowing unauthenticated attackers to perform Reflected Cross-Site Scripting via a crafted URL against anyone who clicks it, including administrators.
Score: 7.1/10 — Severidad: HIGH — Estado NIST: Received
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:L
CWE-79
Publicado en NIST NVD.