WP Latest Posts <= 5.0.11 - Authenticated (Author+) Stored Cross-Site Scripting via Post Content Image src Attribute (Cross-Site Scripting (XSS))

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin WP Latest Posts, que afecta a versiones hasta la 5.0.11. Este fallo permite la ejecución de scripts maliciosos a través del atributo src de las imágenes en el contenido de las publicaciones, lo que puede comprometer la seguridad del sitio y la privacidad de los usuarios.

Contexto técnico

La vulnerabilidad se presenta en el plugin WP Latest Posts, donde un atacante autenticado puede inyectar código JavaScript malicioso mediante la manipulación del atributo src de las imágenes en las publicaciones. Esto se traduce en un vector de ataque que explota la confianza del navegador del usuario al mostrar contenido desde el servidor comprometido.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el contexto del navegador de un usuario legítimo, lo que podría llevar al robo de información sensible, suplantación de identidad o redirección a sitios maliciosos. Esto no solo afecta la integridad del sitio, sino que también puede dañar la reputación de la organización.

Vector de explotación

La explotación se lleva a cabo mediante la creación de un contenido de publicación que contenga un atributo src de imagen modificado, que apunte a un script malicioso. Un usuario autenticado que visualice esta publicación ejecutará el script en su navegador.

Mitigación recomendada

Wordfence Intelligence indica que esta vulnerabilidad está corregida a partir de la versión 5.0.11. Actualiza wp-latest-posts a la versión 5.0.11 o superior desde el panel de WordPress, WP-CLI o el proveedor oficial del componente. Antes de aplicar el cambio en producción, revisa compatibilidad en staging si el sitio tiene personalizaciones, dependencias críticas o una versión muy antigua. Después de actualizar, confirma que la versión instalada ya no queda por debajo de 5.0.11, limpia cachés y revisa logs de errores o intentos de explotación relacionados. Contrasta el detalle técnico con las referencias de origen enlazadas en esta ficha; no descargues paquetes desde fuentes no oficiales.

Señales de detección

Buscar en los logs de acceso patrones inusuales de solicitudes que incluyan modificaciones en el atributo src de las imágenes. También se pueden detectar cambios sospechosos en el contenido de las publicaciones.

Alcance afectado

Las versiones del plugin WP Latest Posts hasta la 5.0.11 son vulnerables. No se han confirmado casos de explotación en versiones posteriores ni en instalaciones que no utilicen este plugin.