WP Google Ad Manager Plugin <= 1.1.0 - Authenticated (Administrator+) Stored Cross-Site Scripting via Admin Settings (Cross-Site Scripting (XSS))

Resumen ejecutivo

El plugin WP Google Ad Manager hasta la versión 1.1.0 presenta una vulnerabilidad de tipo Cross-Site Scripting (XSS) almacenado, que puede ser explotada por administradores autenticados. Esta falla se publicó el 27 de enero de 2026 y tiene una severidad media con un CVSS de 4.4.

Contexto técnico

La vulnerabilidad permite a un atacante inyectar scripts maliciosos a través de la configuración del plugin en el área de administración. Al ser un XSS almacenado, el código malicioso se guarda en el servidor y se ejecuta posteriormente en el navegador de otros usuarios que acceden a la misma configuración.

Impacto potencial

Si se explota, esta vulnerabilidad puede comprometer la seguridad de la instalación de WordPress, permitiendo a un atacante ejecutar scripts en el contexto de otros usuarios, potencialmente robando información sensible o realizando acciones no autorizadas.

Vector de explotación

Generalmente, la explotación se lleva a cabo cuando un administrador accede a la configuración del plugin y un atacante previamente ha inyectado código malicioso. Esto puede suceder a través de formularios de entrada no suficientemente validados.

Mitigación recomendada

Actualizar el plugin WP Google Ad Manager a la versión 1.1.0 o superior. Además, se recomienda revisar las configuraciones del plugin y realizar una auditoría de seguridad para detectar posibles inyecciones de código.

Señales de detección

Señales de riesgo pueden incluir comportamientos inusuales en la administración del plugin, como la aparición de scripts no autorizados en la configuración. También se deben monitorizar logs de acceso para detectar actividades sospechosas.

Alcance afectado

Las versiones del plugin WP Google Ad Manager anteriores a la 1.1.0 están afectadas. Es crucial que los administradores verifiquen la versión instalada en sus sitios.