Fuente base de datos: Wordfence Intelligence

Shortcodes Ultimate <= 7.4.7 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'su_lightbox' Shortcode

PLUGIN MEDIUM CVE-2026-0737

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Shortcodes Ultimate, que afecta a las versiones hasta la 7.4.7. Esta vulnerabilidad permite a usuarios autenticados con rol de contribuidor o superior inyectar scripts maliciosos a través del shortcode 'su_lightbox'.

Contexto técnico

El fallo se origina en la forma en que el shortcode 'su_lightbox' procesa las entradas del usuario, lo que permite la ejecución de código JavaScript no autorizado en el navegador de otros usuarios. Esto representa una superficie de ataque significativa, especialmente en entornos donde múltiples usuarios tienen permisos de edición.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad de los usuarios al permitir la ejecución de scripts maliciosos, lo que podría llevar al robo de información sensible o a la manipulación de sesiones. A nivel empresarial, esto puede afectar la confianza del usuario y la reputación del sitio web.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando contenido malicioso a través del shortcode 'su_lightbox', que luego se renderiza en el navegador de otros usuarios cuando visualizan la página afectada.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Shortcodes Ultimate a la versión 7.4.8 o superior. Además, es aconsejable revisar y restringir los permisos de los usuarios que pueden utilizar shortcodes en el sitio.

Señales de detección

Señales de posible explotación incluyen la aparición de scripts no autorizados en el código fuente de las páginas generadas o comportamientos inusuales en la interacción de los usuarios con el sitio.

Alcance afectado

Las versiones del plugin Shortcodes Ultimate hasta la 7.4.7 están afectadas. Las instalaciones que no han actualizado a la versión 7.4.8 o superior corren el riesgo de ser vulnerables.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

shortcodes-ultimate