Fuente base de datos: Wordfence Intelligence

ProfileGrid <= 5.9.9.2 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Message Content en Profilegrid User Profiles Groups AND Communities (Cross-Site Scripting (XSS)) - version 5.9.9.3

PLUGIN MEDIUM CVE-2026-4610

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo XSS almacenado en el plugin ProfileGrid, que afecta a las versiones hasta la 5.9.9.2. Esta falla permite a usuarios autenticados con rol de suscriptor inyectar scripts maliciosos, lo que puede comprometer la seguridad del sitio y la integridad de los datos.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin gestiona el contenido de los mensajes, permitiendo que se almacenen scripts maliciosos que se ejecutan en el navegador de otros usuarios. Esto se puede aprovechar a través de la interacción de usuarios autenticados que envían mensajes con contenido malicioso.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el contexto de otros usuarios, lo que podría llevar al robo de información sensible o a la manipulación de la experiencia del usuario. La severidad de este fallo se clasifica como media, con un puntaje CVSS de 6.4.

Vector de explotación

La explotación de esta vulnerabilidad generalmente se realiza mediante la creación de mensajes que contienen código JavaScript malicioso, que se ejecuta cuando otros usuarios visualizan el mensaje afectado.

Mitigación recomendada

Actualizar el plugin ProfileGrid a la versión 5.9.9.3 o superior para corregir la vulnerabilidad. Revisar los mensajes existentes en el sistema para identificar y eliminar cualquier contenido sospechoso. Implementar medidas de seguridad adicionales, como la validación del contenido de los mensajes y el uso de políticas de seguridad de contenido (CSP).

Señales de detección

Señales de riesgo incluyen la aparición de scripts inusuales en los mensajes de usuarios, logs de actividad que muestren interacciones sospechosas de usuarios autenticados y cambios inesperados en la configuración del plugin.

Alcance afectado

Las versiones afectadas son todas las versiones de ProfileGrid hasta la 5.9.9.2. No se han confirmado casos de explotación en versiones posteriores a la 5.9.9.3.