WP-WebAuthn <= 1.3.4 - Unauthenticated Stored Cross-Site Scripting

Resumen ejecutivo

La vulnerabilidad CVE-2025-13910 afecta al plugin WP-WebAuthn en versiones hasta la 1.3.4, permitiendo la ejecución de scripts maliciosos almacenados sin autenticación. Esto representa un riesgo medio para los sitios que utilizan este plugin.

Contexto técnico

El fallo se clasifica como Cross-Site Scripting (XSS) almacenado, lo que significa que un atacante puede inyectar código JavaScript en el sistema, que luego se ejecutará en el navegador de otros usuarios sin necesidad de autenticación previa. La superficie de ataque se centra en las entradas de datos que el plugin no valida adecuadamente.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la ejecución de scripts maliciosos, comprometiendo la seguridad de los usuarios y potencialmente robando información sensible o realizando acciones no autorizadas en sus cuentas. Esto puede dañar la reputación del negocio y afectar la confianza de los usuarios.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando datos maliciosos a través de formularios o campos de entrada que el plugin procesa sin la debida sanitización, lo que permite que el código inyectado se almacene y se ejecute posteriormente.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin WP-WebAuthn a la versión 1.3.4 o superior. Además, se deben revisar y validar todas las entradas de datos para prevenir inyecciones de código en el futuro.

Señales de detección

Señales de riesgo incluyen la aparición de comportamientos inusuales en el sitio, como redirecciones inesperadas o la ejecución de scripts no autorizados. También se deben monitorizar los registros de acceso en busca de patrones sospechosos.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.3.4 del plugin WP-WebAuthn. Se recomienda a los administradores de sitios que verifiquen la versión instalada para asegurar que no están en riesgo.