Fuente base de datos: Wordfence Intelligence
Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.
Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Hammas Calendar, afectando a las versiones hasta la 1.5.11. Este fallo permite la inyección de scripts maliciosos a través del atributo 'apix' en los shortcodes, lo que podría comprometer la seguridad del sitio.
La vulnerabilidad se origina en la forma en que el plugin maneja el atributo 'apix' dentro de los shortcodes, permitiendo que usuarios autenticados con rol de colaborador o superior inyecten código JavaScript malicioso. Esto se traduce en una exposición a ataques de XSS almacenados, donde el código malicioso se almacena en el servidor y se ejecuta en el navegador de otros usuarios.
El impacto potencial de esta vulnerabilidad es medio, dado que permite a un atacante ejecutar scripts en el contexto de otros usuarios, lo que podría llevar al robo de información sensible, secuestro de sesiones o redireccionamiento a sitios maliciosos. Esto puede afectar la confianza de los usuarios y la reputación del sitio web.
Los atacantes suelen aprovechar esta vulnerabilidad al crear contenido malicioso que incluye el shortcode afectado, lo que permite la ejecución de scripts en la sesión de otros usuarios que visualizan dicho contenido.
Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Hammas Calendar a la versión 1.5.12 o superior. Además, se sugiere implementar medidas de seguridad adicionales, como la validación y sanitización de entradas, así como el uso de políticas de seguridad de contenido (CSP).
Señales de posible explotación incluyen la presencia de scripts inusuales en el contenido generado por el plugin, así como comportamientos anómalos en las sesiones de usuario, como redireccionamientos inesperados o alertas de seguridad en el navegador.
Las versiones del plugin Hammas Calendar afectadas son todas las anteriores a la 1.5.12, siendo la 1.5.11 la última versión vulnerable identificada.
post-snippets
automotive
official-statcounter-plugin-for-wordpress
simple-divi-shortcode
link-whisper
the-plus-addons-for-elementor-page-builder
login-recaptcha
new-dev-livesmart-video-chat
¿Tu WordPress podría estar expuesto?
Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.
Hacer el análisis gratisProtección profesional para tu WordPress
Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.
Hablar con un expertoGestiona el consentimiento por categoría según tus preferencias.
Imprescindibles para la navegación, seguridad y funcionamiento básico.
Nos ayuda a medir uso y rendimiento para mejorar contenidos y UX. Incluye un identificador anónimo de visitante para analizar navegación, formularios, chat y análisis WP.
Permite personalizar campañas y medir conversiones en canales externos.
Puedes cambiar o retirar el consentimiento en cualquier momento desde «Preferencias de cookies». Más información en la Política de cookies.