Fuente base de datos: Wordfence Intelligence

Structured Content <= 1.6.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via sc_fs_local_business Shortcode

PLUGIN MEDIUM CVE-2025-4608

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Structured Content, que afecta a las versiones hasta 1.6.4. Esta vulnerabilidad permite la ejecución de scripts maliciosos en el contexto de usuarios autenticados con rol de colaborador o superior.

Contexto técnico

El fallo se origina en el shortcode `sc_fs_local_business`, que no valida correctamente la entrada del usuario, permitiendo la inyección de código JavaScript. Esta vulnerabilidad se clasifica como XSS almacenado, ya que el código malicioso se almacena en el servidor y se ejecuta cuando otros usuarios acceden a la información comprometida.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad de los usuarios autenticados, permitiendo a un atacante robar información sensible o realizar acciones no autorizadas en nombre de la víctima. Esto podría afectar la confianza de los usuarios en el sitio y provocar daños reputacionales y financieros.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad mediante la creación de contenido malicioso que se almacena en el servidor. Una vez que un usuario con rol de colaborador o superior accede a este contenido, se ejecuta el script malicioso en su navegador.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Structured Content a la versión 1.7.0 o superior. Además, se sugiere revisar y sanitizar adecuadamente todas las entradas de usuario en el sistema.

Señales de detección

Se pueden detectar señales de explotación mediante la monitorización de registros de actividad que muestren accesos inusuales o la ejecución de scripts no autorizados en el frontend del sitio web.

Alcance afectado

Las versiones del plugin Structured Content hasta la 1.6.4 son vulnerables. Es crucial verificar las instalaciones activas y aplicar las actualizaciones necesarias.