Title: plugin de WordPress Debug Log Manager, Description: El plugin Debug Log Manager - Conveniently Monitor and Inspect Errors para WordPress es vulnerable a la Neutralización Inadecuada de Salida para Registros en todas las versiones hasta la 2.5.0, inclusive. Esto se debe a que el gestor AJAX 'log_js_errors()' está registrado para usuarios no autenticados a través de 'wp_ajax_nopriv_log_js_errors' y está protegido únicamente por un nonce que se divulga públicamente en el HTML de cada página de front-end a través de 'wp_localize_script()' siempre que el registro de errores de JavaScript esté habilitado, lo que no proporciona una barrera de autorización real. Esto hace posible que atacantes no autenticados inyecten entradas falsificadas arbitrarias en el registro de depuración de WordPress del sitio al proporcionar valores controlados por el atacante para los campos 'message', 'script', 'lineNo', 'columnNo' y 'pageUrl', lo que permite la suplantación de registros de errores y de incidentes, ocultando actividad maliciosa dentro de ruido de registro fabricado y engañando a los administradores que confían en el registro para la clasificación. Esta vulnerabilidad solo es explotable cuando la función de registro de errores de JavaScript del plugin está habilitada, ya que el nonce requerido solo se publica en el HTML de la página bajo esa condición.

{"timestamp":"2026-06-06T11:33:44.814740Z","id":"CVE-2026-9016","options":[{"exploitation":"none"},{"automatable":"yes"},{"technicalImpact":"partial"}],"role":"CISA Coordinator","version":"2.0.3"}

[{"vendor":"qriouslad","product":"Debug Log Manager – Conveniently Monitor and Inspect Errors","defaultStatus":"unaffected","versions":[{"version":"0","lessThanOrEqual":"2.5.0","versionType":"semver","status":"affected"}]}]

The Debug Log Manager – Conveniently Monitor and Inspect Errors plugin for WordPress is vulnerable to Improper Output Neutralization for Logs in all versions up to, and including, 2.5.0. This is due to the `log_js_errors()` AJAX handler being registered for unauthenticated users via `wp_ajax_nopriv_log_js_errors` and gated only by a nonce that is publicly disclosed in every front-end page's HTML through `wp_localize_script()` whenever JavaScript error logging is enabled, providing no real authorization barrier. This makes it possible for unauthenticated attackers to inject arbitrary forged entries into the site's WordPress debug log by supplying attacker-controlled values for the `message`, `script`, `lineNo`, `columnNo`, and `pageUrl` fields — enabling spoofing of error and incident records, obscuring malicious activity within fabricated log noise, and misleading administrators who rely on the log for triage. This vulnerability is only exploitable when the plugin's JavaScript error logging feature is enabled, as the requisite nonce is only published into the page HTML under that condition.

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

CWE-117

https://plugins.trac.wordpress.org/browser/debug-log-manager/tags/2.4.3/bootstrap.php#L123

https://plugins.trac.wordpress.org/browser/debug-log-manager/tags/2.4.3/bootstrap.php#L556

https://plugins.trac.wordpress.org/browser/debug-log-manager/tags/2.4.3/classes/class-debug-log.php#L1947

https://plugins.trac.wordpress.org/browser/debug-log-manager/tags/2.4.3/classes/class-debug-log.php#L1961

https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=3543321%40debug-log-manager&new=3543321%40debug-log-manager&sfp_email=&sfph_mail=

https://www.wordfence.com/threat-intel/vulnerabilities/id/25abca87-1be2-427e-ab01-377d52917052?source=cve