Fuente base de datos: Wordfence Intelligence

DeMomentSomTres Shortcodes <= 1.1.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode Attributes (Cross-Site Scripting (XSS))

PLUGIN MEDIUM CVE-2026-8885

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin DeMomentSomTres Shortcodes, afectando a versiones hasta la 1.1.1. Esta falla puede ser explotada por usuarios autenticados con rol de colaborador o superior, lo que podría comprometer la seguridad del sitio web.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin procesa los atributos de los shortcodes, permitiendo la inyección de scripts maliciosos. Esto se convierte en un vector de ataque cuando un usuario autenticado, con permisos de colaborador o superiores, inserta contenido malicioso a través de los shortcodes.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante inyectar scripts que se ejecutan en el navegador de otros usuarios. Esto puede resultar en el robo de información sensible o en la manipulación de la sesión del usuario, afectando la confianza y la integridad del sitio.

Vector de explotación

La explotación se realiza mediante la creación de un shortcode que incluye código JavaScript malicioso, el cual se ejecuta cuando otros usuarios visualizan el contenido generado por dicho shortcode.

Mitigación recomendada

Actualizar el plugin DeMomentSomTres Shortcodes a la versión 1.1.1 o superior para corregir la vulnerabilidad. Revisar y limpiar cualquier shortcode existente que pueda haber sido manipulado. Implementar políticas de control de acceso más estrictas para los usuarios con permisos de colaborador.

Señales de detección

Monitorear los logs del servidor en busca de entradas inusuales que indiquen la inyección de código a través de shortcodes. También se debe revisar la configuración de los shortcodes en el contenido para detectar patrones sospechosos.

Alcance afectado

La vulnerabilidad afecta a todas las instalaciones del plugin DeMomentSomTres Shortcodes en versiones hasta la 1.1.1. No se han reportado casos de explotación en versiones posteriores.

Vulnerabilidades relacionadas

HIGH PLUGIN

gptranslate

GPTranslate <= 2.31 - Unauthenticated Stored Cross-Site Scripting via REST API Translation Storage

MEDIUM PLUGIN

foogallery

Photo Gallery by FooGallery : Responsive Image Gallery, Masonry Gallery & Carousel <= 3.1.31 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'custom_attribute_key' Shortcode Parameter

MEDIUM PLUGIN

canvas

Canvas <= 2.5.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'tag' Block Attribute

MEDIUM PLUGIN

pagelayer

Page Builder: Pagelayer – Drag and Drop website builder <= 2.0.9 - Authenticated (Contributor+) Stored Cross-Site Scripting via Anchor Block

HIGH PLUGIN

bookly-responsive-appointment-booking-tool

Online Scheduling and Appointment Booking System – Bookly <= 27.2 - Unauthenticated Stored Cross-Site Scripting via 'bookly-customer-full-name' Cookie

MEDIUM PLUGIN

presto-player

The Ultimate Video Player For WordPress <= 4.2.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'link_url' Shortcode Attribute

MEDIUM PLUGIN

open-user-map-pro

Open User Map PRO <= 1.4.31 - Unauthenticated Stored Cross-Site Scripting via 'oum_location_notification'

MEDIUM PLUGIN

animation-addons-for-elementor

Animation Addons for Elementor – GSAP Powered Elementor Addons & Website Templates <= 2.6.7 - Authenticated (Contributor+) DOM-Based Stored Cross-Site Scripting via Multiple Parameters

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto