WordPress XStore Core plugin <= 5.6.4 - Vulnerabilidad de Cross Site Scripting (XSS) reflejado

Un atacante puede explotar esta vulnerabilidad inyectando código JavaScript malicioso a través de parámetros en la URL o en campos de entrada de la aplicación. Cuando un usuario visita una página que contiene este código malicioso, el script se ejecuta en el contexto del navegador del usuario, permitiendo al atacante robar cookies de sesión, redirigir al usuario a sitios web maliciosos, o incluso realizar modificaciones en el contenido de la página web (defacement). El impacto puede ser significativo, especialmente en sitios web con un alto tráfico o que manejan información sensible de los usuarios. La ejecución de código en el navegador del usuario permite al atacante simular ser el usuario legítimo, facilitando el acceso no autorizado a la aplicación y sus datos.

Websites using the XStore Core plugin for WordPress, particularly those with user input fields or forms that are not properly sanitized, are at risk. Shared hosting environments where multiple websites share the same server resources are also at increased risk, as a compromise of one website could potentially lead to the compromise of others.

• wordpress / composer / npm:

grep -r 'XStore Core' /var/www/html/wp-content/plugins/
wp plugin list | grep 'XStore Core'

• generic web:

curl -I https://example.com/?param=<script>alert(1)</script>

1. 2026-03-25Disclosure

   disclosure

1. Reservado2026-02-02
2. Publicada2026-03-25
3. Modificada2026-04-28
4. EPSS actualizado2026-04-02

La mitigación principal para esta vulnerabilidad es actualizar el plugin XStore Core a la versión 5.6.5 o superior. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales, como la validación y el saneamiento de todas las entradas de usuario en el lado del servidor. Además, se pueden utilizar políticas de seguridad de contenido (CSP) para restringir las fuentes de scripts que se pueden ejecutar en el navegador. Monitorear los registros del servidor en busca de patrones sospechosos de inyección de código también puede ayudar a detectar y responder a posibles ataques. Después de la actualización, confirme la mitigación revisando los registros del servidor y realizando pruebas de penetración básicas.