Fuente base de datos: Wordfence Intelligence

WPFunnels Pro <= 2.9.4 - Unauthenticated Stored Cross-Site Scripting (Cross-Site Scripting (XSS)) - version 2.9.5

PLUGIN HIGH CVE-2026-49778

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

La extensión WPFunnels Pro presenta una vulnerabilidad de Cross-Site Scripting (XSS) almacenado en versiones hasta la 2.9.4. Esta falla permite la ejecución de scripts maliciosos, comprometiendo la seguridad de los usuarios y la integridad del sitio.

Contexto técnico

La vulnerabilidad se manifiesta en la forma en que WPFunnels Pro gestiona las entradas de los usuarios, permitiendo que un atacante inyecte scripts maliciosos que se almacenan y se ejecutan sin autenticación. Esto se convierte en un vector de ataque crítico, especialmente en entornos donde los usuarios interactúan con la interfaz del plugin.

Impacto potencial

El impacto de esta vulnerabilidad es significativo, ya que puede permitir a un atacante robar información sensible, manipular sesiones de usuario o realizar acciones no autorizadas en nombre de otros usuarios. Esto puede resultar en daños a la reputación del negocio y pérdida de confianza por parte de los clientes.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes maliciosas que aprovechan la falta de validación y sanitización de datos en las entradas del plugin, lo que permite la inyección de scripts en el navegador de otros usuarios.

Mitigación recomendada

Actualizar WPFunnels Pro a la versión 2.9.5 o superior para corregir la vulnerabilidad. Revisar y sanitizar todas las entradas de usuario en el plugin para prevenir futuras inyecciones. Implementar políticas de seguridad de contenido (CSP) para mitigar el riesgo de ejecución de scripts no autorizados.

Señales de detección

Monitorear los logs de acceso en busca de patrones inusuales de solicitudes que incluyan scripts o parámetros sospechosos. Revisar la configuración del plugin para detectar entradas no válidas o no sanitizadas.

Alcance afectado

Las versiones de WPFunnels Pro hasta la 2.9.4 están afectadas. No se han reportado casos de explotación en versiones posteriores.

Vulnerabilidades relacionadas

HIGH PLUGIN

gptranslate

GPTranslate <= 2.31 - Unauthenticated Stored Cross-Site Scripting via REST API Translation Storage

MEDIUM PLUGIN

foogallery

Photo Gallery by FooGallery : Responsive Image Gallery, Masonry Gallery & Carousel <= 3.1.31 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'custom_attribute_key' Shortcode Parameter

MEDIUM PLUGIN

canvas

Canvas <= 2.5.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'tag' Block Attribute

MEDIUM PLUGIN

pagelayer

Page Builder: Pagelayer – Drag and Drop website builder <= 2.0.9 - Authenticated (Contributor+) Stored Cross-Site Scripting via Anchor Block

HIGH PLUGIN

bookly-responsive-appointment-booking-tool

Online Scheduling and Appointment Booking System – Bookly <= 27.2 - Unauthenticated Stored Cross-Site Scripting via 'bookly-customer-full-name' Cookie

MEDIUM PLUGIN

presto-player

The Ultimate Video Player For WordPress <= 4.2.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'link_url' Shortcode Attribute

MEDIUM PLUGIN

open-user-map-pro

Open User Map PRO <= 1.4.31 - Unauthenticated Stored Cross-Site Scripting via 'oum_location_notification'

MEDIUM PLUGIN

animation-addons-for-elementor

Animation Addons for Elementor – GSAP Powered Elementor Addons & Website Templates <= 2.6.7 - Authenticated (Contributor+) DOM-Based Stored Cross-Site Scripting via Multiple Parameters

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto