WP Google Review Slider <= 18.0 - Unauthenticated Stored Cross-Site Scripting en WP Google Places Review Slider (Cross-Site Scripting (XSS)) - version 18.1

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin WP Google Review Slider en versiones anteriores a la 17.9. Este fallo permite la ejecución de scripts maliciosos, lo que puede comprometer la seguridad del sitio y afectar a los usuarios.

Contexto técnico

El fallo se produce debido a la falta de validación adecuada de entradas no autenticadas, permitiendo que un atacante inyecte código JavaScript malicioso que se ejecuta en el navegador de otros usuarios. La superficie de ataque se centra en las interacciones con el plugin que no requieren autenticación previa.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la suplantación de identidad de los usuarios y al robo de información sensible. Esto no solo afecta la integridad del sitio, sino que también puede dañar la reputación de la marca y provocar pérdidas económicas.

Vector de explotación

Generalmente, la explotación se realiza mediante la inyección de scripts en formularios o campos de entrada que no están debidamente sanitizados, lo que permite a los atacantes ejecutar código en el contexto de la víctima.

Mitigación recomendada

Wordfence Intelligence indica que esta vulnerabilidad está corregida a partir de la versión 18.1. Actualiza wp-google-places-review-slider a la versión 18.1 o superior desde el panel de WordPress, WP-CLI o el proveedor oficial del componente. Antes de aplicar el cambio en producción, revisa compatibilidad en staging si el sitio tiene personalizaciones, dependencias críticas o una versión muy antigua. Después de actualizar, confirma que la versión instalada ya no queda por debajo de 18.1, limpia cachés y revisa logs de errores o intentos de explotación relacionados. Contrasta el detalle técnico con las referencias de origen enlazadas en esta ficha; no descargues paquetes desde fuentes no oficiales.

Señales de detección

Señales de alerta incluyen registros de actividad inusual en el plugin, intentos de inyección de scripts en los formularios y cambios inesperados en el comportamiento del sitio web.

Alcance afectado

Las versiones del plugin WP Google Review Slider anteriores a la 17.9 están afectadas. No se han confirmado casos de explotación en versiones posteriores.