WordPress Core < 6.2.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via Embed Discovery (Cross-Site Scripting (XSS)) - version 4.1.38

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el núcleo de WordPress, que afecta a versiones anteriores a 6.2.1. Esta vulnerabilidad permite a usuarios autenticados con rol de colaborador o superior inyectar scripts maliciosos en el sitio.

Contexto técnico

El fallo se origina en la función de descubrimiento de embeds, que no valida adecuadamente las entradas de los usuarios. Esto permite que un atacante con los permisos adecuados pueda almacenar scripts en el sistema, los cuales se ejecutarán en el navegador de otros usuarios cuando accedan a la página afectada.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad de los usuarios al permitir la ejecución de código malicioso, lo que podría llevar al robo de información sensible o a la manipulación del contenido del sitio. Esto puede resultar en daños a la reputación y pérdidas económicas para el negocio.

Vector de explotación

Generalmente, la explotación se realiza mediante la inyección de un script malicioso en un campo de entrada que no está debidamente sanitizado, seguido de la visualización de la página afectada por otros usuarios.

Mitigación recomendada

Wordfence Intelligence indica que esta vulnerabilidad está corregida a partir de la versión 4.1.38. Actualiza WordPress core a la versión 4.1.38 o superior desde el panel de WordPress, WP-CLI o el proveedor oficial del componente. Antes de aplicar el cambio en producción, revisa compatibilidad en staging si el sitio tiene personalizaciones, dependencias críticas o una versión muy antigua. Después de actualizar, confirma que la versión instalada ya no queda por debajo de 4.1.38, limpia cachés y revisa logs de errores o intentos de explotación relacionados. Contrasta el detalle técnico con las referencias de origen enlazadas en esta ficha; no descargues paquetes desde fuentes no oficiales.

Señales de detección

Señales de posible explotación incluyen la aparición de scripts no autorizados en el contenido del sitio, así como comportamientos inusuales en la interacción de los usuarios con el sistema, como redirecciones inesperadas o la inyección de contenido no deseado.

Alcance afectado

Las versiones de WordPress anteriores a la 6.2.1 están afectadas, lo que incluye una amplia gama de instalaciones que no han sido actualizadas desde la publicación de la vulnerabilidad el 16 de mayo de 2023.