Fuente base de datos: Wordfence Intelligence

WPFunnels Pro <= 2.9.4 - Unauthenticated Stored Cross-Site Scripting (Cross-Site Scripting (XSS)) - version 2.9.5

PLUGIN HIGH CVE-2026-49778

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

La extensión WPFunnels Pro presenta una vulnerabilidad de Cross-Site Scripting (XSS) almacenado en versiones hasta la 2.9.4. Esta falla permite la ejecución de scripts maliciosos, comprometiendo la seguridad de los usuarios y la integridad del sitio.

Contexto técnico

La vulnerabilidad se manifiesta en la forma en que WPFunnels Pro gestiona las entradas de los usuarios, permitiendo que un atacante inyecte scripts maliciosos que se almacenan y se ejecutan sin autenticación. Esto se convierte en un vector de ataque crítico, especialmente en entornos donde los usuarios interactúan con la interfaz del plugin.

Impacto potencial

El impacto de esta vulnerabilidad es significativo, ya que puede permitir a un atacante robar información sensible, manipular sesiones de usuario o realizar acciones no autorizadas en nombre de otros usuarios. Esto puede resultar en daños a la reputación del negocio y pérdida de confianza por parte de los clientes.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes maliciosas que aprovechan la falta de validación y sanitización de datos en las entradas del plugin, lo que permite la inyección de scripts en el navegador de otros usuarios.

Mitigación recomendada

Actualizar WPFunnels Pro a la versión 2.9.5 o superior para corregir la vulnerabilidad. Revisar y sanitizar todas las entradas de usuario en el plugin para prevenir futuras inyecciones. Implementar políticas de seguridad de contenido (CSP) para mitigar el riesgo de ejecución de scripts no autorizados.

Señales de detección

Monitorear los logs de acceso en busca de patrones inusuales de solicitudes que incluyan scripts o parámetros sospechosos. Revisar la configuración del plugin para detectar entradas no válidas o no sanitizadas.

Alcance afectado

Las versiones de WPFunnels Pro hasta la 2.9.4 están afectadas. No se han reportado casos de explotación en versiones posteriores.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

wp-hotel-booking

WP Hotel Booking <= 2.3.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'widget_search' Shortcode Attribute

MEDIUM PLUGIN

visualizer

Visualizer <= 4.0.5 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'backend-title' Parameter

MEDIUM PLUGIN

brands-for-woocommerce

Brands for WooCommerce <= 3.8.8 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'width' Shortcode Attribute

MEDIUM PLUGIN

cozy-addons

Cozy Blocks <= 2.2.11 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'cozyCustomFont' Block Attribute

MEDIUM PLUGIN

cozy-addons

Cozy Blocks <= 2.2.11 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'icon.view' Block Attribute

MEDIUM PLUGIN

fluent-support

Fluent Support <= 2.3.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'redirect-to' Shortcode Attribute

MEDIUM PLUGIN

open-user-map

Open User Map <= 1.4.45 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode Attributes

MEDIUM PLUGIN

widget-google-reviews

Rich Showcase for Google Reviews <= 6.9.9 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'pagination' Shortcode Attribute

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto