Fuente base de datos: Wordfence Intelligence

Custom Payment Gateways for WooCommerce <= 2.1.0 - Unauthenticated Stored Cross-Site Scripting via 'alg_wc_cpg_input_fields' Parameter en Custom Payment Gateways Woocommerce (Cross-Site Scripting (XSS)) - version 2.2.0

PLUGIN HIGH CVE-2026-7517

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo XSS en el plugin Custom Payment Gateways para WooCommerce, que afecta a versiones hasta 2.1.0. Esta falla permite la ejecución de scripts no autenticados, lo que puede comprometer la seguridad del sitio y la integridad de los datos de los usuarios.

Contexto técnico

La vulnerabilidad se origina en el manejo inadecuado del parámetro 'alg_wc_cpg_input_fields', lo que permite la inyección de scripts maliciosos. Los atacantes pueden explotar esta falla a través de formularios públicos o entradas de usuario sin autenticación, afectando a la superficie de ataque del plugin.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el navegador de los usuarios, lo que podría llevar al robo de datos sensibles o a la manipulación de la interfaz del usuario. Esto afecta la confianza de los clientes y puede resultar en pérdidas económicas.

Vector de explotación

La explotación generalmente se realiza enviando solicitudes maliciosas que incluyen el parámetro vulnerable, permitiendo la ejecución de código JavaScript en el contexto del navegador del usuario.

Mitigación recomendada

Actualizar el plugin Custom Payment Gateways para WooCommerce a la versión 2.2.0 o superior. Revisar y validar todas las entradas de usuario en formularios relacionados con el plugin. Implementar medidas de seguridad adicionales, como Content Security Policy (CSP), para mitigar el riesgo de XSS.

Señales de detección

Monitorear los registros de acceso y errores en busca de patrones inusuales, especialmente solicitudes que contengan el parámetro 'alg_wc_cpg_input_fields' con contenido sospechoso.

Alcance afectado

Las versiones del plugin Custom Payment Gateways para WooCommerce hasta la 2.1.0 están afectadas. Las versiones posteriores, a partir de la 2.2.0, han sido corregidas.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

fb-reviews-widget

Reviews Widgets for Google, Yelp & TripAdvisor <= 2.7.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'page_id' Shortcode Attribute

MEDIUM PLUGIN

wedocs

weDocs: AI Powered Knowledge Base, Docs, Documentation, Wiki & AI Chatbot <= 2.3.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'connectorWidth' Block Attribute

MEDIUM PLUGIN

wedocs

weDocs: AI Powered Knowledge Base, Docs, Documentation, Wiki & AI Chatbot <= 2.3.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'sectionTitleTag' and 'articleTitleTag' Block Attributes

MEDIUM PLUGIN

ultimate-member

Ultimate Member <= 2.11.4 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Non-HTML Custom Textarea Profile Field

MEDIUM PLUGIN

cm-business-directory

CM Business Directory <= 1.5.7 - Authenticated (Contributor+) Stored Cross-Site Scripting via Business Address Meta Fields

MEDIUM PLUGIN

json-api-user

JSON API User <= 4.1.0 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'content' Parameter

HIGH PLUGIN

nex-forms-express-wp-form-builder

NEX-Forms <= 9.2.2 - Unauthenticated Stored Cross-Site Scripting via 'real_val__' Parameter

MEDIUM PLUGIN

rometheme-for-elementor

RTMKit <= 2.0.7 - Authenticated (Contributor+) Stored Cross-Site Scripting via Advanced Heading Widget 'Background Text' Parameter

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto