Fuente base de datos: Wordfence Intelligence

ShopLentor - WooCommerce Builder for Elementor & Gutenberg <= 3.3.8 - Authenticated (Contributor+) Stored Cross-Site Scripting via Product Grid 'blockUniqId' Block Attribute en Woolentor Addons (Cross-Site Scripting (XSS)) - version 3.3.9

PLUGIN MEDIUM CVE-2026-6287

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Woolentor para WordPress, que afecta a las versiones hasta la 3.3.8. Esta falla permite a usuarios autenticados con rol de contribuidor o superior inyectar scripts maliciosos, lo que puede comprometer la integridad del sitio web.

Contexto técnico

La vulnerabilidad se encuentra en el atributo 'blockUniqId' del Product Grid, que es parte del plugin Woolentor. Los atacantes pueden explotar esta falla enviando datos manipulados a través de formularios o entradas, lo que permite la ejecución de scripts en el navegador de otros usuarios.

Impacto potencial

El impacto de esta vulnerabilidad puede incluir la exposición de datos sensibles de los usuarios y la alteración de la experiencia del sitio. Aunque la severidad se clasifica como media (CVSS 5.4), la posibilidad de ejecución de código en el navegador puede ser utilizada para ataques más sofisticados.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad mediante la manipulación de datos enviados a través de formularios, aprovechando los permisos de usuarios autenticados para ejecutar scripts maliciosos.

Mitigación recomendada

Actualizar el plugin Woolentor a la versión 3.3.9 o superior para corregir la vulnerabilidad. Revisar los permisos de los usuarios y limitar el acceso a roles que realmente lo necesiten. Implementar medidas de seguridad adicionales como Content Security Policy (CSP) para mitigar el riesgo de XSS.

Señales de detección

Revisar los registros de actividad para detectar entradas inusuales o scripts no autorizados que puedan indicar un intento de explotación.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 3.3.9 del plugin Woolentor. No se han confirmado casos en versiones posteriores.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

woolentor-addons