Fuente base de datos: Wordfence Intelligence

myCred – Points Management System For Gamification, Ranks, Badges, and Loyalty Rewards Program <= 3.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'wrap' Shortcode Attribute (Cross-Site Scripting (XSS)) - version 3.1.1

PLUGIN MEDIUM CVE-2026-8607

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo XSS almacenado en el plugin myCred, que afecta a versiones anteriores a 3.1. Este fallo permite a usuarios autenticados con rol de contribuidor o superior inyectar scripts maliciosos, comprometiendo la seguridad del sitio.

Contexto técnico

El fallo se presenta en el atributo 'wrap' del shortcode del plugin myCred. La superficie de ataque se activa cuando un usuario con permisos de contribuidor o superior inserta código malicioso, que es posteriormente ejecutado en el navegador de otros usuarios.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la ejecución de scripts no autorizados en el contexto del navegador, lo que puede resultar en el robo de información sensible o la manipulación de la interfaz del usuario. Esto podría afectar la confianza de los usuarios y la integridad del sitio.

Vector de explotación

La explotación se realiza mediante la inserción de un shortcode malicioso por parte de un usuario autenticado, que se almacena y se ejecuta cuando otros usuarios cargan la página que contiene dicho shortcode.

Mitigación recomendada

Actualizar el plugin myCred a la versión 3.1.1 o superior para corregir la vulnerabilidad. Revisar y limpiar cualquier entrada de datos potencialmente maliciosa en los shortcodes existentes. Implementar medidas de seguridad adicionales como Content Security Policy (CSP) para mitigar riesgos de XSS.

Señales de detección

Revisar los logs para detectar entradas inusuales o no autorizadas en el uso de shortcodes, así como la aparición de scripts no esperados en las páginas del sitio.

Alcance afectado

Las versiones del plugin myCred anteriores a 3.1 son las afectadas. No se han confirmado casos en versiones posteriores a la 3.1.1.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

mycred