Vulnerabilidad en plugin de WordPress Debug Log Manager (CVE-2026-9016)

El plugin Debug Log Manager - Conveniently Monitor and Inspect Errors para WordPress es vulnerable a la Neutralización Inadecuada de Salida para Registros en todas las versiones hasta la 2.5.0, inclusive. Esto se debe a que el gestor AJAX 'log_js_errors()' está registrado para usuarios no autenticados a través de 'wp_ajax_nopriv_log_js_errors' y está protegido únicamente por un nonce que se divulga públicamente en el HTML de cada página de front-end a través de 'wp_localize_script()' siempre que el registro de errores de JavaScript esté habilitado, lo que no proporciona una barrera de autorización real. Esto hace posible que atacantes no autenticados inyecten entradas falsificadas arbitrarias en el registro de depuración de WordPress del sitio al proporcionar valores controlados por el atacante para los campos 'message', 'script', 'lineNo', 'columnNo' y 'pageUrl', lo que permite la suplantación de registros de errores y de incidentes, ocultando actividad maliciosa dentro de ruido de registro fabricado y engañando a los administradores que confían en el registro para la clasificación. Esta vulnerabilidad solo es explotable cuando la función de registro de errores de JavaScript del plugin está habilitada, ya que el nonce requerido solo se publica en el HTML de la página bajo esa condición.