Fuente base de datos: Wordfence Intelligence

CorvusPay WooCommerce Payment Gateway <= 2.7.4 - Unauthenticated Stored Cross-Site Scripting via 'approval_code' Parameter en Corvuspay Woocommerce Integration (Cross-Site Scripting (XSS)) - version 2.7.5

PLUGIN HIGH CVE-2026-6939

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha detectado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin CorvusPay WooCommerce Payment Gateway, que permite la ejecución de scripts maliciosos sin autenticación. Esta falla, identificada como CVE-2026-6939, puede comprometer la seguridad de los usuarios y la integridad del sitio web.

Contexto técnico

La vulnerabilidad se origina en el parámetro 'approval_code', que no valida adecuadamente la entrada del usuario. Esto permite a un atacante inyectar código JavaScript malicioso que se ejecuta en el navegador de otros usuarios, afectando la superficie de ataque a través de formularios y páginas de pago.

Impacto potencial

El impacto en el negocio puede incluir el robo de información sensible y la manipulación de datos de los usuarios. Además, la explotación de esta vulnerabilidad puede dañar la reputación de la tienda online y resultar en pérdidas económicas significativas.

Vector de explotación

La explotación se lleva a cabo mediante el envío de una solicitud manipulada que incluye un código malicioso en el parámetro 'approval_code', lo que permite que dicho código se ejecute en el contexto de la sesión de otro usuario.

Mitigación recomendada

Actualizar el plugin CorvusPay WooCommerce Payment Gateway a la versión 2.7.5 o superior. Revisar y validar las entradas de usuario en todos los formularios relacionados con el pago. Implementar medidas de seguridad adicionales, como Content Security Policy (CSP), para mitigar riesgos de XSS.

Señales de detección

Revisar los logs del servidor en busca de solicitudes sospechosas que incluyan el parámetro 'approval_code' con contenido inusual o scripts. Monitorizar cambios en el comportamiento de los usuarios en las páginas de pago.

Alcance afectado

Las versiones afectadas son todas las versiones hasta la 2.7.4 del plugin CorvusPay WooCommerce Payment Gateway. Las versiones posteriores no están afectadas.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

beaver-builder-lite-version

Beaver Builder Page Builder <= 2.10.2.2 - Authenticated (Author+) Stored Cross-Site Scripting via Button Module 'button' Parameter

HIGH PLUGIN

gdpr-cookie-consent

Cookie Banner for GDPR / CCPA <= 4.3.5 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'regionArray' Parameter

MEDIUM PLUGIN

hydra-booking

Hydra Booking <= 1.2.2 - Authenticated (Host+) Stored Cross-Site Scripting via 'first_name' Parameter

HIGH PLUGIN

gdpr-compliant-recaptcha-for-all-forms

Invisible Anti-Spam & CAPTCHA <= 5.1 - Unauthenticated Stored Cross-Site Scripting via 'action' Parameter

HIGH PLUGIN

meeting-scheduler-by-vcita

Online Booking & Scheduling Calendar for WordPress by vcita <= 4.6.0 - Unauthenticated Stored Cross-Site Scripting via REST API 'business_id' Parameter

MEDIUM PLUGIN

wp-photo-album-plus

WP Photo Album Plus < 9.2.04.003 - Authenticated (Subscriber+) Stored Cross-Site Scripting

HIGH PLUGIN

w3-total-cache

W3 Total Cache <= 2.10.3 - Unauthenticated Stored Cross-Site Scripting via Comment Author Name

HIGH PLUGIN

tourmaster

Tour Master - Tour Booking, Travel, Hotel < 5.4.8 - Unauthenticated Stored Cross-Site Scripting

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto