Vulnerabilidad en plugin de WordPress jQuery Hover Footnotes (CVE-2026-10553)

El plugin jQuery Hover Footnotes para WordPress es vulnerable a falsificación de petición en sitios cruzados en todas las versiones hasta la 1.4, inclusive. Esto se debe a la validación de nonce faltante o incorrecta en la función jqFootnotes_options_subpanel. Esto hace posible que atacantes no autenticados actualicen la configuración del plugin con valores arbitrarios que, debido a que los valores de opción como jqfoot_anchor_open, jqfoot_anchor_close y jqfoot_title se muestran sin escapar en el contenido de la página del frontend, pueden encadenarse en un cross-site scripting persistente que afecta a todos los visitantes del sitio a través de una petición falsificada, siempre que puedan engañar a un administrador del sitio para que realice una acción como hacer clic en un enlace. La explotación exitosa de la vulnerabilidad CSRF puede encadenarse en un cross-site scripting almacenado, ya que los valores de opción sobrescritos se persisten a través de update_option() sin sanitización y se renderizan sin escapar en el frontend.