Cross-Site Scripting Almacenado en Plugin "Food Store" para WordPress (CVE-2026-96669)

Se ha identificado una vulnerabilidad de Cross-Site Scripting (XSS) almacenado en el plugin "Food Store – Online Food Delivery & Pickup" para WordPress. La falla se origina por un saneamiento insuficiente de la entrada y una falta de escape en la salida del parámetro de la cookie service_type.

Vector de Ataque: Remoto vía red sin autenticación previa. Un atacante puede inyectar un payload malicioso mediante el parámetro de consulta ?type= en la página pública de pago (checkout). El plugin escribe este valor directamente en la cookie service_type del navegador, el cual se persiste en la metadata del pedido y se ejecuta de forma no escapada en el panel de administración.

Impacto: Confidencialidad e Integridad medias. Permite la ejecución de scripts arbitrarios en la sesión de los usuarios administradores al visualizar el pedido, lo que puede derivar en la manipulación de datos o el secuestro de sesiones administrativas.

Parches y Actualizaciones: actualizar de inmediato el plugin "Food Store" a una versión posterior a la 1.5.5 disponible en el repositorio de WordPress.

Mitigaciones Temporales: si no es posible actualizar inmediatamente, deshabilitar temporalmente el plugin o implementar reglas en el Web Application Firewall (WAF) para sanear/bloquear valores inusuales en el parámetro ?type= y en la cookie service_type.

Buenas Prácticas: revisar los registros de auditoría y los pedidos recientes en busca de entradas de script o caracteres anómalos.

https://nvd.nist.gov/vuln/detail/cve-2026-96669