Fuente base de datos: Wordfence Intelligence

Ultimate Addons for WPBakery Page Builder < 3.21.4 - Authenticated (Contributor+) Stored Cross-Site Scripting

PLUGIN MEDIUM CVE-2026-34889

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo XSS almacenado en el plugin Ultimate Addons for WPBakery Page Builder, que afecta a versiones anteriores a 3.21.4. Esta falla permite que usuarios autenticados con rol de contribuyente o superior inyecten scripts maliciosos, comprometiendo la integridad del sitio.

Contexto técnico

La vulnerabilidad se manifiesta a través de un fallo en la validación de entradas, permitiendo que se almacenen scripts maliciosos en la base de datos. El ataque se puede llevar a cabo por usuarios con permisos de contribuyente o superiores, lo que amplía la superficie de ataque a cualquier usuario autenticado.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite la ejecución de scripts en el navegador de otros usuarios, lo que puede llevar al robo de información sensible o a la manipulación del contenido del sitio. Esto puede afectar la confianza del usuario y la reputación del negocio.

Vector de explotación

La explotación se realiza mediante la inyección de código JavaScript en campos de entrada que no son adecuadamente sanitizados, lo que permite que el código se ejecute en el contexto de otros usuarios que visiten la página afectada.

Mitigación recomendada

Actualizar el plugin Ultimate Addons for WPBakery Page Builder a la versión 3.21.4 o superior. Revisar y limpiar cualquier contenido potencialmente malicioso almacenado en la base de datos. Implementar medidas de seguridad adicionales como validación y sanitización de entradas en otros componentes del sitio.

Señales de detección

Monitorear los registros de acceso y errores en busca de patrones inusuales o intentos de inyección de scripts. También se pueden revisar las entradas en la base de datos para detectar contenido sospechoso.

Alcance afectado

Las versiones afectadas son todas las anteriores a 3.21.4. No se han confirmado otros casos fuera de este rango de versiones.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

ultimate_vc_addons