Fuente base de datos: Wordfence Intelligence

LearnPress <= 4.3.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'skin' Shortcode Attribute

PLUGIN MEDIUM CVE-2026-4333

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin LearnPress, que afecta a versiones hasta 4.3.3. Esta falla permite a usuarios autenticados con rol de colaborador o superior ejecutar scripts maliciosos, comprometiendo la seguridad del sitio.

Contexto técnico

El fallo se manifiesta a través del atributo 'skin' en el shortcode del plugin LearnPress, permitiendo la inyección de código JavaScript por parte de usuarios con permisos elevados. La exposición se produce en entornos donde se permite la edición de contenido por parte de estos usuarios.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la ejecución de scripts en el navegador de otros usuarios, lo que podría resultar en robo de información sensible o suplantación de identidad. Esto representa un riesgo significativo para la integridad y confianza del sitio web.

Vector de explotación

La vulnerabilidad se puede explotar al modificar el shortcode 'skin' en el contenido gestionado por usuarios con privilegios de colaborador o superiores, permitiendo la ejecución de código malicioso en el contexto del navegador de otros usuarios.

Mitigación recomendada

Actualizar el plugin LearnPress a la versión 4.3.4 o superior para corregir la vulnerabilidad. Revisar los permisos de usuario para limitar la capacidad de edición a roles estrictamente necesarios. Implementar medidas de seguridad adicionales como Content Security Policy (CSP) para mitigar el impacto de posibles scripts maliciosos.

Señales de detección

Monitorear los logs de acceso en busca de modificaciones sospechosas en los shortcodes y revisar las configuraciones de permisos de usuario para detectar accesos no autorizados.

Alcance afectado

Las versiones de LearnPress hasta la 4.3.3 son vulnerables. Se recomienda verificar cualquier instalación que utilice este plugin y asegurar que se haya realizado la actualización correspondiente.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

learnpress