Cool YT Player <= 1.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode Attributes

Resumen ejecutivo

La vulnerabilidad identificada en el plugin Cool YT Player permite la ejecución de scripts maliciosos a través de atributos de shortcode, afectando a usuarios autenticados con rol de colaborador o superior. Esta falla tiene una severidad media y fue publicada el 6 de enero de 2026.

Contexto técnico

El fallo se origina en la forma en que el plugin procesa los atributos de shortcode, permitiendo la inyección de código JavaScript no autorizado. Esto se traduce en un ataque de Cross-Site Scripting (XSS) almacenado, donde los atacantes pueden inyectar scripts que se ejecutan en el navegador de otros usuarios.

Impacto potencial

La explotación de esta vulnerabilidad podría comprometer la seguridad de los usuarios, permitiendo el robo de información sensible o la manipulación del contenido mostrado en el sitio. Esto puede afectar la confianza de los usuarios y, potencialmente, la reputación de la empresa.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando contenido malicioso a través de los atributos de shortcode, que luego se almacena y se ejecuta en el contexto de otros usuarios que visitan la página afectada.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Cool YT Player a la versión 1.0 o superior. Además, es aconsejable implementar medidas de seguridad adicionales, como la validación y el saneamiento de entradas de usuarios.

Señales de detección

Señales de riesgo incluyen la aparición de comportamientos inusuales en el sitio, como la ejecución de scripts no autorizados o la modificación de contenido por parte de usuarios no autorizados.

Alcance afectado

La vulnerabilidad afecta a todas las versiones del plugin Cool YT Player hasta la 1.0, y es relevante para instalaciones donde se permite a los usuarios con rol de colaborador o superior utilizar shortcodes.