Fuente base de datos: Wordfence Intelligence

ShopLentor <= 3.3.5 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'button_text' Shortcode Attribute

PLUGIN MEDIUM CVE-2026-4059

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Woolentor hasta la versión 3.3.5, que puede ser explotada por usuarios autenticados con rol de colaborador o superior. Esta falla permite inyectar scripts maliciosos, afectando la integridad y seguridad del sitio web.

Contexto técnico

La vulnerabilidad se encuentra en el atributo 'button_text' del shortcode, permitiendo que un atacante autenticado inserte código JavaScript. Esto expone a los usuarios a ataques de XSS, donde el código malicioso puede ejecutarse en el navegador de otros usuarios que visiten la página afectada.

Impacto potencial

El impacto de esta vulnerabilidad puede incluir el robo de información sensible, la manipulación de sesiones de usuario y la propagación de malware. Esto puede dañar la reputación del negocio y comprometer la seguridad de los datos de los clientes.

Vector de explotación

Generalmente, la explotación se realiza mediante la creación de un shortcode con un valor de 'button_text' que contenga código JavaScript malicioso, el cual se ejecuta cuando otros usuarios cargan la página donde se utiliza el shortcode.

Mitigación recomendada

Actualizar el plugin Woolentor a la versión 3.3.6 o superior para corregir la vulnerabilidad. Revisar y limpiar cualquier shortcode existente que pueda haber sido manipulado. Implementar políticas de control de acceso adecuadas para limitar los permisos de los usuarios. Realizar auditorías de seguridad periódicas para identificar y mitigar futuras vulnerabilidades.

Señales de detección

Señales que pueden indicar explotación incluyen entradas inesperadas en los logs de acceso, cambios no autorizados en shortcodes y reportes de comportamientos anómalos por parte de los usuarios.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 3.3.6 del plugin Woolentor. No se han confirmado casos de explotación en versiones posteriores.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

woolentor-addons