CVE-2026-92424
Content Egg < 11.9.0 - XSS almacenado (Contributor+) mediante cola de importación
- Publicado
- 30 sept 2026
- Actualizado
- 30 sept 2026
- Asignación de CNA
- WPScan
- Evidencia observada
- 4 nov 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:HBajo · próximos 30 días
- Percentil
- 13,8 %
- Fecha del modelo
- 4 nov 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
El plugin de WordPress Content Egg anterior a 11.9.0 no verifica que un usuario que ejecuta su función de importación masiva de contenido esté autorizado para el preset de importación que selecciona, y cambia a la identidad del autor del preset antes de crear la entrada resultante, lo que permite a los usuarios con acceso de nivel colaborador y superior almacenar scripts web arbitrarios sin filtrar bajo la cuenta de un usuario privilegiado, ejecutándose en el contexto de cualquiera que posteriormente visualice ese contenido.
Fuentes
Aviso y prueba de concepto para CVE-2026-92424, un XSS almacenado de nivel Contributor en el plugin de WordPress Content Egg que suplanta a un administrador antes de insertar entradas.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.