Fuente base de datos: Wordfence Intelligence

WP-Clippy <= 1.0.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode Attributes en WP Clippy (Cross-Site Scripting (XSS))

PLUGIN MEDIUM CVE-2026-5505

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin WP-Clippy en versiones hasta 1.0.0, que permite a usuarios autenticados con rol de contribuidor o superior inyectar scripts maliciosos. Esta situación puede comprometer la seguridad del sitio y afectar la integridad de los datos.

Contexto técnico

La vulnerabilidad se presenta a través de los atributos de shortcode, permitiendo la ejecución de scripts no autorizados en el contexto del navegador de otros usuarios. Esto se produce cuando un contribuidor o usuario con permisos superiores inserta código malicioso en el contenido que se renderiza en el frontend.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el navegador de otros usuarios, lo que podría llevar al robo de información sensible o manipulación de la sesión del usuario. Esto puede afectar la confianza de los usuarios y la reputación del sitio.

Vector de explotación

La explotación se lleva a cabo mediante la inserción de código malicioso en los atributos de shortcode, que luego es procesado y ejecutado en el navegador de otros usuarios que visualizan el contenido afectado.

Mitigación recomendada

Actualizar el plugin WP-Clippy a la versión 1.0.1 o superior para corregir la vulnerabilidad. Revisar y limpiar cualquier contenido que pueda haber sido inyectado antes de la actualización. Implementar medidas de seguridad adicionales, como la validación y sanitización de entradas en el sitio.

Señales de detección

Señales de alerta incluyen registros de actividad inusual por parte de usuarios con permisos de contribuidor o superiores, así como la presencia de scripts sospechosos en el contenido generado por shortcodes.

Alcance afectado

Las versiones de WP-Clippy hasta la 1.0.0 son vulnerables. No se han confirmado casos en versiones posteriores a la 1.0.1.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

fusion-builder

Avada (Fusion) Builder <= 3.15.2 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Multiple Shortcodes

MEDIUM PLUGIN

wpb-floating-menu-or-categories

WPB Floating Menu or Categories – Sticky Floating Side Menu & Categories with Icons <= 1.0.8 - Authenticated (Editor+) Stored Cross-Site Scripting via 'Icon CSS Class' Category Field

HIGH PLUGIN

pixel-cost-of-goods

Cost of Goods by PixelYourSite <= 1.2.12 - Unauthenticated Stored Cross-Site Scripting via Cost of Goods Import

MEDIUM PLUGIN

ai-copilot-content-generator

AI Chatbot & Workflow Automation by AIWU <= 1.4.14 - Unauthenticated Stored Cross-Site Scripting via 'X-Forwarded-For' Header

MEDIUM PLUGIN

sticky

Sticky <= 2.5.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'readmoretext' Shortcode Attribute

MEDIUM PLUGIN

lj-comments-import-reloaded

LJ comments import: reloaded <= 0.97.1 - Reflected Cross-Site Scripting via PHP_SELF Parameter

MEDIUM PLUGIN

correct-prices

Correct Prices <= 1.0 - Reflected Cross-Site Scripting via PHP_SELF Parameter

MEDIUM PLUGIN

anomify

Anomify AI <= 0.3.6 - Authenticated (Administrator+) Stored Cross-Site Scripting via 'anomify_api_key' Parameter

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto