Fuente base de datos: Wordfence Intelligence

GiveWP <= 4.16.0 - Authenticated (Author+) Stored Cross-Site Scripting via 'block_id' Shortcode Attribute (Cross-Site Scripting (XSS)) - version 4.16.1

PLUGIN MEDIUM CVE-2026-13246

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin GiveWP, afectando a versiones hasta la 4.16.0. Esta falla permite a usuarios autenticados inyectar scripts maliciosos, lo que puede comprometer la integridad del sitio y la seguridad de los usuarios.

Contexto técnico

La vulnerabilidad se encuentra en el atributo 'block_id' del shortcode del plugin GiveWP. La exposición ocurre cuando un usuario autenticado (con rol de autor o superior) utiliza este shortcode de manera incorrecta, permitiendo la inyección de código JavaScript malicioso que se ejecuta en el contexto del navegador de otros usuarios.

Impacto potencial

El impacto de esta vulnerabilidad podría incluir el robo de información sensible, la manipulación de contenido y la posible redirección de usuarios a sitios maliciosos. Esto puede afectar la confianza del usuario y la reputación del negocio, además de posibles implicaciones legales por la exposición de datos.

Vector de explotación

La explotación se lleva a cabo mediante la creación de un shortcode con un atributo 'block_id' que contenga código JavaScript malicioso, ejecutándose cuando otros usuarios acceden a la página que incluye dicho shortcode.

Mitigación recomendada

Actualizar el plugin GiveWP a la versión 4.16.1 o superior para corregir la vulnerabilidad. Revisar los shortcodes utilizados en el sitio para identificar posibles inyecciones de código malicioso. Implementar políticas de seguridad que limiten los permisos de los usuarios autenticados, especialmente aquellos con roles de autor. Realizar auditorías de seguridad periódicas para detectar y mitigar vulnerabilidades similares.

Señales de detección

Señales de alerta incluyen logs de errores que muestran intentos de inyección de código en el atributo 'block_id' y cambios no autorizados en los shortcodes del plugin.

Alcance afectado

Las versiones afectadas son todas las versiones de GiveWP hasta la 4.16.0. No se han confirmado casos en versiones posteriores a la 4.16.1.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

give