Fuente base de datos: Wordfence Intelligence

Orbit Fox: Duplicate Page, Menu Icons, SVG Support, Cookie Notice, Custom Fonts & More <= 3.0.6 - Authenticated (Administrator+) Stored Cross-Site Scripting via 'menu-item-icon' Parameter en Themeisle Companion (Cross-Site Scripting (XSS)) - version 3.0.7

PLUGIN MEDIUM CVE-2026-11358

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo XSS almacenado en el plugin Orbit Fox, que afecta a las versiones hasta 3.0.6. Esta falla permite a un atacante autenticado ejecutar scripts maliciosos, comprometiendo la seguridad del sitio.

Contexto técnico

La vulnerabilidad se manifiesta a través del parámetro 'menu-item-icon', permitiendo la inyección de código JavaScript en el contexto de la interfaz de usuario. Esto ocurre cuando un administrador introduce datos no sanitizados en este campo, lo que expone al sitio a ataques XSS.

Impacto potencial

El impacto de esta vulnerabilidad puede resultar en la ejecución de scripts maliciosos, permitiendo a atacantes autenticados robar información sensible o manipular la experiencia del usuario. Esto puede dañar la reputación del negocio y comprometer la integridad del sistema.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad al acceder a un panel de administración y modificar los parámetros del menú, inyectando código malicioso que se ejecuta en el navegador de otros usuarios.

Mitigación recomendada

Actualizar el plugin Orbit Fox a la versión 3.0.7 o superior para corregir la vulnerabilidad. Revisar y sanitizar los datos introducidos en el campo 'menu-item-icon' para prevenir inyecciones futuras. Implementar medidas de seguridad adicionales como la validación de entradas y el uso de Content Security Policy (CSP).

Señales de detección

Señales de posible explotación incluyen entradas inusuales en los logs de acceso al panel de administración y cambios no autorizados en los parámetros del menú.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 3.0.7 del plugin Orbit Fox. No se han confirmado casos de explotación en versiones posteriores.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

themeisle-companion