CVE-2026-16685

El plugin de Descargador de Archivos para WordPress contiene una falla de seguridad que afecta todas las versiones hasta 3.3.66, permitiendo a los usuarios maliciosos con acceso al nivel de contribuyente o superior inyectar códigos web no autorizados en páginas vistas por otros. Esta vulnerabilidad surge debido a la falta de filtrado adecuado de datos de entrada y el fracaso para sanear correctamente la atribución del shortcode 'icon'. Como resultado, los scripts inyectados pueden ejecutarse automáticamente cuando se accede a las páginas objetivo.

Basado en datos públicos de CVE (MITRE/NVD).