Fuente base de datos: Wordfence Intelligence

Enter Addons <= 2.2.7 - Authenticated (Contributor+) Stored Cross-Site Scripting via Countdown and Image Comparison Widgets

PLUGIN MEDIUM CVE-2025-8687

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna.

Resumen ejecutivo

La vulnerabilidad identificada en el plugin Enter Addons, hasta la versión 2.2.7, permite la ejecución de scripts maliciosos a través de los widgets de cuenta atrás y comparación de imágenes. Este fallo afecta a usuarios autenticados con rol de contribuyente o superior.

Contexto técnico

Se trata de una vulnerabilidad de tipo Cross-Site Scripting (XSS) almacenado, que se produce cuando un atacante puede inyectar código JavaScript en el contenido que se almacena y se muestra a otros usuarios. Los widgets afectados son los de cuenta atrás y comparación de imágenes, que permiten la inclusión de contenido no validado.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el navegador de otros usuarios, lo que podría llevar al robo de información sensible o a la toma de control de cuentas. Esto puede resultar en daños a la reputación y pérdidas económicas para el negocio.

Vector de explotación

La explotación de esta vulnerabilidad generalmente se realiza mediante la creación de contenido malicioso que se almacena en el sistema y se muestra a otros usuarios, quienes, al interactuar con dicho contenido, ejecutan el script malicioso.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin Enter Addons a la versión 2.2.8 o superior. Además, se debe revisar el contenido existente para eliminar cualquier posible inyección de scripts y aplicar medidas de validación y saneamiento de entradas.

Señales de detección

Se pueden detectar señales de explotación mediante la monitorización de comportamientos inusuales en la interacción de usuarios con los widgets afectados, así como la revisión de registros para identificar intentos de inyección de scripts.

Alcance afectado

Las versiones del plugin Enter Addons hasta la 2.2.7 están afectadas por esta vulnerabilidad, lo que incluye todas las instalaciones que utilicen estas versiones previas a la 2.2.8.