Fuente base de datos: Wordfence Intelligence

Customer Reviews for WooCommerce <= 5.113.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'color' Shortcode Attribute en Customer Reviews Woocommerce (Cross-Site Scripting (XSS)) - version 5.114.0

PLUGIN MEDIUM CVE-2026-13771

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo XSS almacenado en el plugin Customer Reviews para WooCommerce, afectando a versiones hasta la 5.113.0. Esta vulnerabilidad permite la ejecución de scripts maliciosos a través de un atributo de shortcode, lo que puede comprometer la seguridad del sitio y la integridad de los datos de los usuarios.

Contexto técnico

La vulnerabilidad se presenta en el atributo 'color' de un shortcode, permitiendo la inyección de scripts maliciosos cuando un usuario autenticado con rol de contribuyente o superior interactúa con el sistema. Esto expone la superficie de ataque a usuarios que tengan acceso a la edición de reseñas.

Impacto potencial

El impacto de esta vulnerabilidad puede resultar en la manipulación de contenido, robo de sesiones y acceso no autorizado a información sensible. Esto puede dañar la reputación del negocio y generar pérdidas económicas debido a la falta de confianza de los usuarios.

Vector de explotación

La explotación se realiza mediante la inyección de código JavaScript malicioso en el atributo 'color', que se ejecuta al visualizar la reseña afectada en el frontend del sitio web.

Mitigación recomendada

Actualizar el plugin Customer Reviews para WooCommerce a la versión 5.114.0 o superior. Revisar y limpiar cualquier reseña existente que pueda contener scripts maliciosos. Implementar políticas de validación y sanitización de entradas para todos los campos de usuario.

Señales de detección

Monitorear logs de acceso para detectar patrones inusuales en la creación o edición de reseñas, así como configuraciones de shortcode que incluyan atributos no esperados.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 5.114.0. No se han confirmado casos en versiones posteriores.