Fuente base de datos: Wordfence Intelligence

CorvusPay WooCommerce Payment Gateway <= 2.7.4 - Unauthenticated Stored Cross-Site Scripting via 'approval_code' Parameter en Corvuspay Woocommerce Integration (Cross-Site Scripting (XSS)) - version 2.7.5

PLUGIN HIGH CVE-2026-6939

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha detectado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin CorvusPay WooCommerce Payment Gateway, que permite la ejecución de scripts maliciosos sin autenticación. Esta falla, identificada como CVE-2026-6939, puede comprometer la seguridad de los usuarios y la integridad del sitio web.

Contexto técnico

La vulnerabilidad se origina en el parámetro 'approval_code', que no valida adecuadamente la entrada del usuario. Esto permite a un atacante inyectar código JavaScript malicioso que se ejecuta en el navegador de otros usuarios, afectando la superficie de ataque a través de formularios y páginas de pago.

Impacto potencial

El impacto en el negocio puede incluir el robo de información sensible y la manipulación de datos de los usuarios. Además, la explotación de esta vulnerabilidad puede dañar la reputación de la tienda online y resultar en pérdidas económicas significativas.

Vector de explotación

La explotación se lleva a cabo mediante el envío de una solicitud manipulada que incluye un código malicioso en el parámetro 'approval_code', lo que permite que dicho código se ejecute en el contexto de la sesión de otro usuario.

Mitigación recomendada

Actualizar el plugin CorvusPay WooCommerce Payment Gateway a la versión 2.7.5 o superior. Revisar y validar las entradas de usuario en todos los formularios relacionados con el pago. Implementar medidas de seguridad adicionales, como Content Security Policy (CSP), para mitigar riesgos de XSS.

Señales de detección

Revisar los logs del servidor en busca de solicitudes sospechosas que incluyan el parámetro 'approval_code' con contenido inusual o scripts. Monitorizar cambios en el comportamiento de los usuarios en las páginas de pago.

Alcance afectado

Las versiones afectadas son todas las versiones hasta la 2.7.4 del plugin CorvusPay WooCommerce Payment Gateway. Las versiones posteriores no están afectadas.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

printfriendly

Print, PDF, Email by PrintFriendly <= 5.5.10 - Authenticated (Administrator+) Stored Cross-Site Scripting via 'content_position_css' Parameter

MEDIUM PLUGIN

premium-addons-for-elementor

Premium Addons for Elementor <= 4.11.84 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'premium_tooltip_text' Parameter

MEDIUM PLUGIN

starboard-suite-reservation-calendars

Starboard Suite Reservation Calendars <= 3.1.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode Attributes

MEDIUM PLUGIN

themify-builder

Themify Builder <= 7.7.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'height_slider' Slider Module Field

MEDIUM PLUGIN

themify-builder

Themify Builder <= 7.7.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via Map Module 'b_width_map' Field

HIGH PLUGIN

form-vibes

Form Vibes <= 1.5.2 - Unauthenticated Stored Cross-Site Scripting via Contact Form 7 Form Field

HIGH PLUGIN

squirrly-seo

SEO Plugin by Squirrly SEO <= 14.0.0 - Unauthenticated Arbitrary Post Creation and Stored Cross-Site Scripting via savePost()

MEDIUM PLUGIN

wc-multivendor-marketplace

WCFM Marketplace <= 3.7.3 - Authenticated (Vendor+) Stored Cross-Site Scripting via Attachment 'post_title'

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto