Plataforma
wordpress
Componente
ultra-admin
Corregido en
11.7.1
Se ha identificado una vulnerabilidad de Cross-Site Scripting (XSS) reflejado en el plugin Ultra WordPress Admin, afectando versiones desde 0.0.0 hasta la 11.7. Esta falla permite a un atacante inyectar código malicioso en las páginas web, comprometiendo la seguridad de los usuarios. La vulnerabilidad fue publicada el 25 de marzo de 2026 y se recomienda actualizar el plugin o aplicar medidas de mitigación.
La vulnerabilidad XSS reflejado en Ultra WordPress Admin permite a un atacante ejecutar scripts maliciosos en el navegador de un usuario legítimo. Esto puede resultar en el robo de cookies de sesión, la redirección a sitios web maliciosos, la modificación del contenido de la página web o la ejecución de código arbitrario en el contexto del sitio web. Un atacante podría explotar esta vulnerabilidad para obtener acceso no autorizado a cuentas de usuario, robar información confidencial o incluso tomar el control del sitio web.
Actualmente no se dispone de información sobre campañas de explotación activas. No se ha añadido a la lista KEV de CISA. La vulnerabilidad es de severidad alta (CVSS 7.1) y la disponibilidad de un Proof of Concept (PoC) público podría aumentar el riesgo de explotación.
Websites utilizing the Ultra WordPress Admin plugin, particularly those with user input fields or forms, are at risk. Shared hosting environments where multiple websites share the same server resources are also vulnerable, as a compromise of one site could potentially impact others. Administrators who haven't recently updated the plugin are especially vulnerable.
• wordpress / composer / npm:
grep -r 'Ultra WordPress Admin' /var/www/html/wp-content/plugins/
wp plugin list | grep 'Ultra WordPress Admin'• generic web:
curl -I https://example.com/?param=<script>alert(1)</script>• wordpress / composer / npm:
wp plugin status | grep 'Ultra WordPress Admin'disclosure
Estado del Exploit
EPSS
0.04% (11% percentil)
CISA SSVC
Vector CVSS
La mitigación principal es actualizar el plugin Ultra WordPress Admin a la última versión disponible, que corrige esta vulnerabilidad. Si la actualización no es posible de inmediato, se recomienda implementar medidas de seguridad adicionales, como la validación y el saneamiento de todas las entradas de usuario. Además, se pueden configurar reglas en un Web Application Firewall (WAF) para bloquear solicitudes que contengan código potencialmente malicioso. Monitorear los registros del servidor en busca de patrones sospechosos también puede ayudar a detectar y responder a posibles ataques.
No se conoce ninguna solución disponible. Revise a fondo los detalles de la vulnerabilidad y aplique mitigaciones en función de la tolerancia al riesgo de su organización. Es posible que sea mejor desinstalar el software afectado y buscar un reemplazo.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2026-22523 is a Reflected XSS vulnerability in the Ultra WordPress Admin plugin, allowing attackers to inject malicious scripts via crafted URLs.
You are affected if you are using Ultra WordPress Admin versions 0.0.0 through 11.7. Check your plugin version and upgrade immediately.
Upgrade the Ultra WordPress Admin plugin to the latest available version which contains the security fix. If upgrading is not possible, implement temporary workarounds like input validation and WAF rules.
As of the current date, there are no confirmed reports of active exploitation, but the vulnerability is publicly known and could be targeted.
Refer to the official Ultra WordPress Admin website or WordPress plugin repository for the latest advisory and update information.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.