Fuente base de datos: Wordfence Intelligence

ChatHelp <= 3.5.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'number' and 'group' Shortcode Attributes en Chat Help (Cross-Site Scripting (XSS)) - version 3.5.2

PLUGIN MEDIUM CVE-2026-15759

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin ChatHelp, afectando a las versiones hasta la 3.5.1. Esta falla permite a usuarios autenticados con rol de colaborador o superior inyectar scripts maliciosos, lo que puede comprometer la seguridad del sitio y la integridad de los datos.

Contexto técnico

La vulnerabilidad se presenta a través de los atributos 'number' y 'group' en los shortcodes del plugin ChatHelp. Los atacantes pueden explotar esta debilidad mediante la inyección de código JavaScript, lo que se traduce en un vector de ataque basado en la interacción de usuarios autenticados con el sistema.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, permitiendo a atacantes ejecutar scripts en el contexto de otros usuarios, lo que podría resultar en robo de información sensible o manipulación de la interfaz del usuario. Esto compromete la confianza en el sitio y puede llevar a pérdidas económicas o de reputación.

Vector de explotación

La explotación suele llevarse a cabo mediante la creación de contenido malicioso que se muestra a otros usuarios, facilitando así la ejecución de código no autorizado en sus navegadores.

Mitigación recomendada

Actualizar el plugin ChatHelp a la versión 3.5.2 o superior para corregir la vulnerabilidad. Revisar los permisos de usuario para limitar el acceso a roles no confiables. Implementar medidas de seguridad adicionales, como un firewall de aplicaciones web (WAF), para mitigar riesgos de XSS.

Señales de detección

Señales a observar incluyen registros de actividad inusual en la creación de contenido, así como la aparición de scripts no autorizados en las páginas del sitio.

Alcance afectado

Las versiones afectadas son aquellas anteriores a la 3.5.2 del plugin ChatHelp. No se han reportado casos confirmados en versiones posteriores.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

smart-custom-fields

Smart Custom Fields <= 5.0.7 - Authenticated (Author+) Stored Cross-Site Scripting via Attachment Title

MEDIUM PLUGIN

woocommerce-gateway-placetopay-honduras

WooCommerce Placetopay Gateway <= 3.2.2 - Reflected Cross-Site Scripting via 'redirect-url'

MEDIUM PLUGIN

https://github.com/placetopay/woocommerce-gateway-placetopay

WooCommerce Placetopay Gateway <= 3.2.2 - Reflected Cross-Site Scripting via 'redirect-url'

MEDIUM PLUGIN

woocommerce-gateway-placetopay-uruguay

WooCommerce Placetopay Gateway <= 3.2.2 - Reflected Cross-Site Scripting via 'redirect-url'

MEDIUM PLUGIN

woocommerce-gateway-placetopay-colombia

WooCommerce Placetopay Gateway <= 3.2.2 - Reflected Cross-Site Scripting via 'redirect-url'

MEDIUM PLUGIN

woocommerce-gateway-placetopay-ecuador

WooCommerce Placetopay Gateway <= 3.2.2 - Reflected Cross-Site Scripting via 'redirect-url'

MEDIUM PLUGIN

woocommerce-gateway-placetopay-belice

WooCommerce Placetopay Gateway <= 3.2.2 - Reflected Cross-Site Scripting via 'redirect-url'

HIGH PLUGIN

kali-forms

Kali Forms <= 2.4.18 - Unauthenticated Stored Cross-Site Scripting via 'digitalSignature' Field Value

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto