Fuente base de datos: Wordfence Intelligence

WP-Clippy <= 1.0.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode Attributes en WP Clippy (Cross-Site Scripting (XSS))

PLUGIN MEDIUM CVE-2026-5505

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin WP-Clippy en versiones hasta 1.0.0, que permite a usuarios autenticados con rol de contribuidor o superior inyectar scripts maliciosos. Esta situación puede comprometer la seguridad del sitio y afectar la integridad de los datos.

Contexto técnico

La vulnerabilidad se presenta a través de los atributos de shortcode, permitiendo la ejecución de scripts no autorizados en el contexto del navegador de otros usuarios. Esto se produce cuando un contribuidor o usuario con permisos superiores inserta código malicioso en el contenido que se renderiza en el frontend.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el navegador de otros usuarios, lo que podría llevar al robo de información sensible o manipulación de la sesión del usuario. Esto puede afectar la confianza de los usuarios y la reputación del sitio.

Vector de explotación

La explotación se lleva a cabo mediante la inserción de código malicioso en los atributos de shortcode, que luego es procesado y ejecutado en el navegador de otros usuarios que visualizan el contenido afectado.

Mitigación recomendada

Actualizar el plugin WP-Clippy a la versión 1.0.1 o superior para corregir la vulnerabilidad. Revisar y limpiar cualquier contenido que pueda haber sido inyectado antes de la actualización. Implementar medidas de seguridad adicionales, como la validación y sanitización de entradas en el sitio.

Señales de detección

Señales de alerta incluyen registros de actividad inusual por parte de usuarios con permisos de contribuidor o superiores, así como la presencia de scripts sospechosos en el contenido generado por shortcodes.

Alcance afectado

Las versiones de WP-Clippy hasta la 1.0.0 son vulnerables. No se han confirmado casos en versiones posteriores a la 1.0.1.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

exclusive-addons-for-elementor

Exclusive Addons for Elementor <= 2.7.9.8 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'exad_infobox_image'

MEDIUM PLUGIN

easy-property-listings

Easy Property Listings <= 3.5.24 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'facebook' User Contact Method

MEDIUM PLUGIN

gamipress

GamiPress <= 7.9.9.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'gamipress_rank' Shortcode

MEDIUM PLUGIN

gamipress

GamiPress <= 7.9.9.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via gamipress_achievement Shortcode

MEDIUM PLUGIN

generateblocks

GenerateBlocks <= 2.3.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via Dynamic Tag Injection in HTML Attributes

MEDIUM PLUGIN

cozy-addons

Cozy Blocks <= 2.2.11 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'layoutCircle.alignment' Block Attribute

MEDIUM PLUGIN

download-manager

Download Manager <= 3.3.66 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'icon' Shortcode Attribute

MEDIUM PLUGIN

advanced-woo-labels

Advanced Woo Labels <= 2.48 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'bg_color' Parameter

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto