Fuente base de datos: Wordfence Intelligence

Auto Thumbnails <= 1.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode Attributes en Automatic Thumbnail (Cross-Site Scripting (XSS))

PLUGIN MEDIUM CVE-2026-8899

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Auto Thumbnails, que afecta a versiones anteriores a la 1.0. Este fallo permite a usuarios autenticados con rol de contribuyente o superior inyectar scripts maliciosos, lo que puede comprometer la seguridad del sitio web.

Contexto técnico

La vulnerabilidad se presenta a través de atributos de shortcode en el plugin Auto Thumbnails. Los atacantes pueden aprovechar esta debilidad al enviar contenido malicioso que se ejecuta en el navegador de otros usuarios, facilitando así ataques de XSS.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el contexto del navegador de otros usuarios, lo que puede resultar en el robo de información sensible o en la alteración de la experiencia del usuario en el sitio web. Esto puede afectar la reputación del negocio y la confianza de los usuarios.

Vector de explotación

La explotación de esta vulnerabilidad generalmente se lleva a cabo mediante la creación de un shortcode malicioso que es procesado por el plugin, permitiendo así la inyección de código JavaScript en las páginas del sitio.

Mitigación recomendada

Actualizar el plugin Auto Thumbnails a la versión 1.0 o superior. Revisar y sanitizar cualquier contenido de usuario que se procese a través de shortcodes. Implementar políticas de seguridad de contenido (CSP) para mitigar el riesgo de ejecución de scripts maliciosos.

Señales de detección

Revisar los logs de acceso y errores en busca de patrones inusuales relacionados con la ejecución de scripts en páginas donde se utilizan shortcodes del plugin Auto Thumbnails.

Alcance afectado

Las versiones del plugin Auto Thumbnails anteriores a la 1.0 están afectadas. No se han reportado casos de explotación en versiones posteriores.

Vulnerabilidades relacionadas

HIGH PLUGIN

gptranslate

GPTranslate <= 2.31 - Unauthenticated Stored Cross-Site Scripting via REST API Translation Storage

MEDIUM PLUGIN

foogallery

Photo Gallery by FooGallery : Responsive Image Gallery, Masonry Gallery & Carousel <= 3.1.31 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'custom_attribute_key' Shortcode Parameter

MEDIUM PLUGIN

canvas

Canvas <= 2.5.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'tag' Block Attribute

MEDIUM PLUGIN

pagelayer

Page Builder: Pagelayer – Drag and Drop website builder <= 2.0.9 - Authenticated (Contributor+) Stored Cross-Site Scripting via Anchor Block

HIGH PLUGIN

bookly-responsive-appointment-booking-tool

Online Scheduling and Appointment Booking System – Bookly <= 27.2 - Unauthenticated Stored Cross-Site Scripting via 'bookly-customer-full-name' Cookie

MEDIUM PLUGIN

presto-player

The Ultimate Video Player For WordPress <= 4.2.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'link_url' Shortcode Attribute

MEDIUM PLUGIN

open-user-map-pro

Open User Map PRO <= 1.4.31 - Unauthenticated Stored Cross-Site Scripting via 'oum_location_notification'

MEDIUM PLUGIN

animation-addons-for-elementor

Animation Addons for Elementor – GSAP Powered Elementor Addons & Website Templates <= 2.6.7 - Authenticated (Contributor+) DOM-Based Stored Cross-Site Scripting via Multiple Parameters

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto