CVE-2026-13295
El plugin The Page Builder by SiteOrigin para WordPress es vulnerable a Stored Cross-Site Scripting (XSS) mediante el parámetro panels_data en todas las versiones hasta y inclusive la 2.34.3 debido a una sanitización de entrada insuficiente y un escape de salida inadecuado. Esto permite que los atacantes autenticados, con acceso de nivel Contributor o superior, inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada. Esto es posible porque tanto la verificación del nonce como el control de capacidad edit_post impuesto durante la guardado son satisfechos por los usuarios de nivel Contributor para sus propias publicaciones, y el valor de panels_data se almacena como meta de post — fuera del alcance del carve-out unfiltered_html de WordPress — lo que significa que ninguna caída hacia atrás en wp_kses previene que el contenido no saneado de WP_Widget_Custom_HTML sea persistido y luego renderizado literalmente en la interfaz frontal.
Traducción automática del texto original de la fuente. Ver original
Fuente: CVE.org