CVE-2026-17532
Seraphinite Accelerator <= 2.29.18 - Cross-Site Scripting Reflejado
- Publicado
- 5 ago 2026
- Actualizado
- 5 ago 2026
- Asignación de CNA
- Wordfence
- Evidencia observada
- 26 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:NBajo · próximos 30 días
- Percentil
- 55,2 %
- Fecha del modelo
- 21 sept 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
El complemento Seraphinite Accelerator para WordPress es vulnerable a Cross-Site Scripting Reflejado a través del parámetro 'seraph_accel_prep' en versiones hasta la 2.29.15, inclusive. Esto se debe a que la función CacheExtractPreparePageParams() utiliza el operador de desigualdad no estricta de PHP (!=) para comparar la cadena HMAC esperada con el valor 'nonce' decodificado en JSON — al proporcionar el booleano JSON true se consigue que cualquier cadena HMAC no vacía se compare como débilmente igual, omitiendo la verificación de firma — combinado con un escape de salida insuficiente en la función _CbContentFinishSkip(), que concatena el campo 'selfTest' controlado por el atacante directamente en el cuerpo de la respuesta HTML. Esto permite que atacantes no autenticados inyecten scripts web arbitrarios en páginas que se ejecutan si logran engañar a un usuario para que realice una acción como hacer clic en un enlace especialmente manipulado.
Fuentes
2- CVE-2026-17532-labExploit
# Laboratorio Docker que demuestra CVE-2026-17532, un XSS reflejado no autenticado en Seraphinite Accelerator que se encadena a RCE mediante la sesión de administrador, con script de explotación y web shell.
Seraphinite Accelerator <= 2.29.18 - Cross-Site Scripting Reflejado (PoC)
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.