Fuente base de datos: Wordfence Intelligence

My Calendar – Accessible Event Manager <= 3.7.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode Attributes

PLUGIN MEDIUM CVE-2026-2355

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin My Calendar – Accessible Event Manager, que afecta a las versiones hasta la 3.7.3. Esta vulnerabilidad permite a usuarios autenticados con rol de colaborador o superior inyectar scripts maliciosos a través de atributos de shortcode.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin procesa los atributos de los shortcodes, permitiendo que se almacenen scripts maliciosos en el servidor. Esto puede ser explotado por usuarios con permisos de contribuidor o superiores, quienes pueden inyectar código JavaScript que se ejecutará en el navegador de otros usuarios.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar código arbitrario en el contexto del navegador de otros usuarios, potencialmente robando información sensible o realizando acciones no autorizadas en nombre de estos usuarios. Esto puede dañar la reputación del sitio y comprometer la confianza de los usuarios.

Vector de explotación

La explotación de esta vulnerabilidad se realiza mediante la inyección de código malicioso en los atributos de los shortcodes por parte de un usuario autenticado. Una vez almacenado, el script se ejecuta cuando otros usuarios visitan la página que utiliza el shortcode afectado.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin My Calendar – Accessible Event Manager a la versión 3.7.4 o superior. Además, se debe revisar la configuración de permisos de los usuarios y considerar limitar el acceso de los colaboradores a la edición de shortcodes.

Señales de detección

Señales de riesgo incluyen la presencia de scripts inusuales en el código fuente de las páginas que utilizan el plugin, así como reportes de comportamientos extraños por parte de los usuarios, como redirecciones no autorizadas o ventanas emergentes inesperadas.

Alcance afectado

Las versiones del plugin My Calendar – Accessible Event Manager hasta la 3.7.3 están afectadas por esta vulnerabilidad. Se recomienda a los administradores de sitios que utilicen este plugin verificar la versión instalada y aplicar las actualizaciones necesarias.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

my-calendar