OpenID Connect Generic Client <= 3.10.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin OpenID Connect Generic Client, que afecta a las versiones hasta la 3.10.0. Esta vulnerabilidad permite a usuarios autenticados con rol de contribuidor o superior ejecutar scripts maliciosos a través de shortcodes.

Contexto técnico

La vulnerabilidad se presenta como un fallo de XSS almacenado, lo que significa que los scripts maliciosos pueden ser almacenados en el servidor y posteriormente ejecutados en el navegador de otros usuarios. Esto ocurre al utilizar shortcodes en el contenido gestionado por el plugin, lo que amplía la superficie de ataque a cualquier usuario que tenga acceso a crear o modificar dicho contenido.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante inyectar código malicioso que podría comprometer la seguridad de otros usuarios y la integridad del sitio. Esto podría resultar en el robo de información sensible, la redirección a sitios maliciosos o la manipulación de contenido, afectando la reputación y la confianza en la plataforma.

Vector de explotación

La explotación de esta vulnerabilidad generalmente se realiza mediante la creación de contenido que contenga el shortcode vulnerable, permitiendo que el script se ejecute en el navegador de otros usuarios que visiten la página afectada.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin OpenID Connect Generic Client a la versión 3.10.1 o superior. Además, es aconsejable revisar los permisos de usuario y limitar el acceso a funciones críticas del plugin para minimizar el riesgo de explotación.

Señales de detección

Las señales que pueden indicar un riesgo de explotación incluyen la aparición de comportamientos inusuales en el sitio, como redirecciones inesperadas o la ejecución de scripts no autorizados en el navegador de los usuarios. También se deben monitorizar los logs de actividad para detectar modificaciones sospechosas en el contenido.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin OpenID Connect Generic Client hasta la 3.10.0. La vulnerabilidad fue publicada el 17 de diciembre de 2025.