Vulnerabilidad en plugin de WordPress Passeum Ticketing (CVE-2026-7421)

El plugin Passeum Ticketing para WordPress es vulnerable a Cross-Site Scripting Almacenado en todas las versiones hasta la 1.0, inclusive. Esto se debe a que el método 'get_shop_url()' devuelve el valor de la configuración 'shop_name' sin sanitización cuando comienza con 'http', combinado con una validación insuficiente en la función 'validate_shop_name()' que solo verifica valores vacíos y el tipo de cadena. Esto hace posible que atacantes autenticados, con acceso de nivel de Administrador y superior, inyecten scripts externos arbitrarios al establecer el 'shop_name' a una URL controlada por el atacante (por ejemplo, 'https://attacker.com'), lo que hace que el plugin encole JavaScript y CSS externos desde el dominio controlado por el atacante a través de 'wp_register_script()' y 'wp_register_style()'. Los scripts inyectados se ejecutan en cada página de frontend que contenga cualquier shortcode de Passeum Ticketing, afectando a todos los visitantes del sitio. Tenga en cuenta que esto no afecta a las instalaciones de sitio único, ya que los administradores ya tienen la capacidad 'unfiltered_html'.