Advanced iFrame <= 2026.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via Gutenberg Block 'additional' Attribute (Cross-Site Scripting (XSS)) - version 2026.2

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Advanced iFrame, que afecta a versiones hasta la 2026.1. Este fallo permite a usuarios autenticados con rol de contribuyente o superior inyectar scripts maliciosos, lo que puede comprometer la seguridad del sitio.

Contexto técnico

El fallo se presenta a través del atributo 'additional' en bloques de Gutenberg, donde un atacante autenticado puede insertar código JavaScript. La exposición se produce en el contexto de usuarios que tienen permisos de contribuyente o superiores.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite la ejecución de scripts en el navegador de otros usuarios, lo que podría llevar al robo de información sensible o a la manipulación del contenido del sitio. Esto puede afectar la confianza de los usuarios y la reputación del negocio.

Vector de explotación

La explotación se realiza mediante la inyección de código JavaScript a través del editor de bloques de Gutenberg, aprovechando los permisos de usuarios autenticados.

Mitigación recomendada

Actualizar el plugin Advanced iFrame a la versión 2026.2 o superior para corregir la vulnerabilidad. Revisar los permisos de usuario y limitar el acceso a funciones críticas solo a roles necesarios. Implementar medidas de seguridad adicionales, como la validación de entradas y la sanitización de datos.

Señales de detección

Señales de riesgo incluyen la aparición de scripts no autorizados en los logs de actividad del sitio o cambios inesperados en el contenido generado por Gutenberg.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2026.2 del plugin Advanced iFrame. No se han confirmado otros escenarios fuera de este contexto.