Fuente base de datos: Wordfence Intelligence

Short Comment Filter <= 2.2 - Authenticated (Administrator+) Stored Cross-Site Scripting via 'Minimum Count' Setting (Cross-Site Scripting (XSS))

PLUGIN MEDIUM CVE-2026-3362

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Short Comment Filter, que afecta a versiones anteriores a la 2.2. Esta falla permite a administradores autenticados inyectar scripts maliciosos, comprometiendo la seguridad del sitio y la integridad de los datos.

Contexto técnico

El fallo se encuentra en la configuración 'Minimum Count' del plugin Short Comment Filter, donde un atacante autenticado puede manipular los parámetros para insertar código malicioso. La superficie de ataque se limita a usuarios con privilegios de administrador, lo que aumenta el riesgo en entornos donde se comparten credenciales.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a un atacante ejecutar scripts en el navegador de otros usuarios, facilitando el robo de información sensible y la manipulación de la interfaz del usuario. Esto representa un riesgo significativo para la reputación del negocio y la confianza de los usuarios.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes manipuladas a través de la interfaz de administración, donde se puede modificar el valor de 'Minimum Count' para inyectar código JavaScript malicioso.

Mitigación recomendada

Actualizar el plugin Short Comment Filter a la versión 2.2 o superior. Revisar y restringir los permisos de los usuarios administradores para minimizar el riesgo de explotación. Implementar medidas de seguridad adicionales, como un firewall de aplicaciones web (WAF), para filtrar solicitudes maliciosas.

Señales de detección

Monitorear los registros de acceso y errores en busca de patrones inusuales relacionados con la configuración del plugin, así como la presencia de scripts no autorizados en las entradas de comentarios.

Alcance afectado

Las versiones del plugin Short Comment Filter anteriores a la 2.2 son vulnerables. No se han confirmado casos de explotación en versiones posteriores.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

wp-stripe-express

Express Payment For Stripe <= 1.28.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode Attributes

MEDIUM PLUGIN

simple-seo-slideshow

Simple SEO Slideshow <= 1.2.8 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode Attributes

MEDIUM PLUGIN

master-addons

Master Addons For Elementor <= 3.1.0 - Authenticated (Author+) Stored Cross-Site Scripting via 'jtlma_custom_js' Page Setting (Custom JS Extension)

HIGH PLUGIN

all-in-one-wp-security-and-firewall

All-In-One Security (AIOS) <= 5.4.7 - Unauthenticated Stored Cross-Site Scripting via REST API Request Path

HIGH PLUGIN

crm-integration-freshworks-any-form

Integration for Freshsales <= 1.0.15 - Unauthenticated Stored Cross-Site Scripting via Form Submission Data

MEDIUM PLUGIN

drag-and-drop-multiple-file-upload-contact-form-7

Drag and Drop Multiple File Upload for Contact Form 7 <= 1.3.9.7 - Authenticated (Administrator+) Stored Cross-Site Scripting via 'drag_n_drop_text' and 'drag_n_drop_browse_text' Settings

MEDIUM PLUGIN

ad-inserter

Ad Inserter <= 2.8.15 - Reflected Cross-Site Scripting via URL Parameters in iframe Mode

MEDIUM PLUGIN

click-to-chat-for-whatsapp

Click to Chat <= 4.39 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'num' Shortcode Parameter

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto