Vulnerabilidad Crítica en el Subsistema de Procesamiento (CVE-2026-96666)

El plugin Schema App Structured Data para WordPress (versiones hasta la 2.3.2 incluida) presenta una vulnerabilidad de Cross-Site Scripting (XSS) Almacenado (CWE-79). La falla ocurre por una sanitización de entrada y un escape de salida insuficientes en el filtro de salida de la opción "Remove Microdata". Esto permite a atacantes no autenticados inyectar scripts web arbitrarios a través del contenido de los comentarios. La ejecución requiere que el administrador tenga activada la opción "Remove Microdata" y apruebe el comentario malicioso.

Vector de Ataque: remoto vía red (solicitudes HTTP al publicar comentarios); complejidad baja sin necesidad de credenciales (AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N).

Impacto: compromiso parcial de confidencialidad e integridad (C:L/I:L/A:N). Permite ejecutar código JavaScript en el navegador de los usuarios que visiten la página afectada, abriendo la puerta al robo de cookies de sesión, redirecciones maliciosas o desfiguración del sitio.

Parches y Actualizaciones: actualizar inmediatamente el plugin Schema App Structured Data a la versión más reciente en la que se corrige la desinfección de entrada.

Mitigaciones Temporales: desactivar la función "Remove Microdata" en la configuración del plugin.

Revisar estrictamente y sanitizar los comentarios pendientes de aprobación antes de publicarlos en el sitio web.

Buenas Prácticas: implementar cabeceras HTTP de seguridad como Content Security Policy (CSP) para mitigar el impacto de posibles inyecciones XSS.

https://nvd.nist.gov/vuln/detail/cve-2026-96666