Embed Any Document <= 2.7.10 - Authenticated (Contributor+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Embed Any Document, que afecta a las versiones hasta la 2.7.10. Este fallo permite a usuarios autenticados con rol de colaborador o superior ejecutar scripts maliciosos en el navegador de otros usuarios.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja la entrada de datos sin la debida validación y sanitización. Esto permite que un atacante inyecte código JavaScript en las páginas donde se visualizan documentos incrustados, afectando así a los usuarios que acceden a dichas páginas.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el contexto del navegador de otros usuarios, lo que podría llevar al robo de información sensible o a la manipulación de la sesión del usuario. Esto podría afectar la reputación del negocio y la confianza de los usuarios en la plataforma.

Vector de explotación

Generalmente, la explotación de esta vulnerabilidad se realiza mediante la creación de un documento que incluye el código malicioso y su posterior visualización por otros usuarios que tienen acceso al plugin. Esto requiere que el atacante tenga al menos permisos de colaborador en la instalación de WordPress.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Embed Any Document a la versión 2.7.11 o superior. Además, es aconsejable revisar y limitar los permisos de los usuarios, asegurándose de que solo los roles necesarios tengan acceso a la funcionalidad del plugin.

Señales de detección

Señales de posible explotación incluyen la aparición de comportamientos inusuales en los navegadores de los usuarios, como redirecciones inesperadas o la ejecución de scripts no autorizados. También se puede monitorizar el registro de actividad del plugin para detectar cambios inusuales en los documentos incrustados.

Alcance afectado

Las versiones afectadas son todas aquellas hasta la 2.7.10 del plugin Embed Any Document. La vulnerabilidad fue corregida en la versión 2.7.11, publicada el 17 de diciembre de 2025.