Vulnerabilidad de Stored Cross-Site Scripting en DSGVO All in one for WP (CVE-2026-96741)

El plugin DSGVO All in one for WP para WordPress (desarrollado by mlfactory) es vulnerable a Cross-Site Scripting Almacenado (Stored XSS) a través del contenido de los comentarios (Comment Content) mediante la corrupción del búfer de salida (Output Buffer Regex Corruption) en todas las versiones hasta la 5.0 inclusive. La vulnerabilidad se origina debido a una sanitización de entradas y un escape de salidas insuficientes.

Esta falla se manifiesta específicamente cuando el administrador tiene habilitadas de forma simultánea la integración de Google Tag Manager y la opción "Replace integration automatically [Beta]", requiriendo además que el comentario malicioso sea aprobado por un administrador.

Vector de Ataque: acceso remoto vía red. Baja complejidad, sin requerir autenticación previa (PR:N, UI:N) para enviar el comentario con el payload, aunque requiere la posterior aprobación administrativa para su ejecución.Un atacante envía un comentario manipulado que incluye scripts arbitrarios; una vez que un administrador aprueba el comentario, el script se almacena de forma persistente y se ejecuta cada vez que un usuario accede a la página.

Impacto: Ejecución persistente de scripts web arbitrarios en el navegador de los visitantes o administradores, permitiendo el robo de sesiones, manipulación del DOM o acciones no autorizadas dentro del sitio WordPress.

Parches y Actualizaciones: actualizar el plugin DSGVO All in one for WP a la versión más reciente corregida publicada por el fabricante.

Mitigaciones Temporales: deshabilitar temporalmente la integración de Google Tag Manager o la opción "Replace integration automatically [Beta]" (la explotación requiere que ambas configuraciones estén activas simultáneamente). Aplicar un control estricto y revisión exhaustiva antes de aprobar comentarios pendientes en el sitio.

Buenas Prácticas: implementar reglas en el WAF (Firewall de Aplicaciones Web) para inspeccionar y filtrar contenido malicioso o etiquetas de script en los envíos de formularios y comentarios.

https://nvd.nist.gov/vuln/detail/cve-2026-96741