MEDIUMCVE-2025-15345CVSS 6.1

CVE-2025-15345: XSS en MapGeo – Interactive Geo Maps

Plataforma

wordpress

Componente

interactive-geo-maps

Corregido en

1.6.28

La vulnerabilidad CVE-2025-15345 afecta al plugin MapGeo – Interactive Geo Maps para WordPress. Se trata de una vulnerabilidad de Cross-Site Scripting (XSS) reflejado, causada por una sanitización y escape de salida insuficientes en el parámetro 'map' del shortcode display-map. Un atacante podría aprovechar esta falla para inyectar scripts web maliciosos en páginas web, comprometiendo la seguridad de los usuarios. Las versiones afectadas son las 1.0.0 hasta la 1.6.27, y la solución es actualizar al plugin a la versión 1.6.28.

WordPress

Detecta esta CVE en tu proyecto

Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.

Impacto y Escenarios de Ataque

La explotación exitosa de esta vulnerabilidad XSS permite a un atacante inyectar código JavaScript arbitrario en las páginas web que utilizan el shortcode display-map. Esto puede llevar a diversas consecuencias, incluyendo el robo de cookies de sesión, la redirección de usuarios a sitios web maliciosos, la modificación del contenido de la página web y la ejecución de código malicioso en el navegador del usuario. El impacto se amplifica si el sitio web es utilizado por un gran número de usuarios o si contiene información sensible. Un atacante podría, por ejemplo, crear un enlace malicioso que, al ser clickeado, ejecute un script que robe las credenciales de acceso del usuario. La falta de autenticación requerida para explotar la vulnerabilidad aumenta significativamente el riesgo.

Contexto de Explotación

La vulnerabilidad CVE-2025-15345 fue publicada el 14 de mayo de 2026. No se ha reportado su inclusión en KEV (Known Exploited Vulnerabilities) ni se dispone de un EPSS (Exploit Prediction Scoring System) score. Aunque no se han reportado campañas de explotación activas, la naturaleza de XSS reflejado la convierte en un objetivo atractivo para atacantes, especialmente en sitios web con tráfico significativo. Es importante monitorear la actividad del sitio web y aplicar las medidas de mitigación recomendadas.

Inteligencia de Amenazas

Estado del Exploit

Prueba de ConceptoDesconocido
CISA KEVNO
Exposición en InternetAlta

CISA SSVC

Explotaciónnone
Automatizableno
Impacto Técnicopartial

Vector CVSS

INTELIGENCIA DE AMENAZAS· CVSS 3.1CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N6.1MEDIUMAttack VectorNetworkCómo el atacante alcanza el objetivoAttack ComplexityLowCondiciones necesarias para explotarPrivileges RequiredNoneNivel de autenticación requeridoUser InteractionRequiredSi la víctima debe realizar una acciónScopeChangedImpacto más allá del componente afectadoConfidentialityLowRiesgo de exposición de datos sensiblesIntegrityLowRiesgo de modificación no autorizada de datosAvailabilityNoneRiesgo de interrupción del servicionextguardhq.com · Puntuación Base CVSS v3.1
¿Qué significan estas métricas?
Attack Vector
Red — explotable remotamente por internet. Sin acceso físico ni local. Mayor superficie de ataque.
Attack Complexity
Baja — sin condiciones especiales. El atacante puede explotar de forma confiable sin configuraciones raras.
Privileges Required
Ninguno — sin autenticación. No se necesitan credenciales para explotar.
User Interaction
Requerida — la víctima debe abrir un archivo, hacer clic en un enlace o visitar una página.
Scope
Cambiado — el ataque puede pivotar a otros sistemas más allá del componente vulnerable.
Confidentiality
Bajo — acceso parcial o indirecto a algunos datos.
Integrity
Bajo — el atacante puede modificar algunos datos con alcance limitado.
Availability
Ninguno — sin impacto en disponibilidad.

Software Afectado

Componenteinteractive-geo-maps
Proveedorwordfence
Versión mínima1.0.0
Versión máxima1.6.27
Corregido en1.6.28

Clasificación de Debilidad (CWE)

Cronología

  1. Reservado
  2. Publicada

Mitigación y Workarounds

La mitigación principal para CVE-2025-15345 es actualizar el plugin MapGeo – Interactive Geo Maps a la versión 1.6.28 o superior, que incluye la corrección de la vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales, como la validación estricta de la entrada del parámetro 'map' en el código del sitio web. Además, se pueden configurar reglas en un Web Application Firewall (WAF) para bloquear solicitudes que contengan código JavaScript sospechoso en el parámetro 'map'. Es crucial revisar y fortalecer las políticas de seguridad del sitio web para prevenir futuros ataques XSS.

Cómo corregirlo

Actualizar a la versión 1.6.28, o una versión parcheada más reciente

Preguntas frecuentes

What is CVE-2025-15345 — XSS en MapGeo – Interactive Geo Maps?

CVE-2025-15345 es una vulnerabilidad de Cross-Site Scripting (XSS) reflejado en el plugin MapGeo para WordPress, que permite a atacantes inyectar scripts maliciosos a través del parámetro 'map' del shortcode display-map.

Am I affected by CVE-2025-15345 in MapGeo – Interactive Geo Maps?

Si está utilizando el plugin MapGeo – Interactive Geo Maps en versiones 1.0.0 hasta 1.6.27, es vulnerable a esta vulnerabilidad. Verifique la versión instalada y actualice si es necesario.

How do I fix CVE-2025-15345 in MapGeo – Interactive Geo Maps?

La solución es actualizar el plugin MapGeo – Interactive Geo Maps a la versión 1.6.28 o superior. Si no puede actualizar inmediatamente, implemente validación de entrada y reglas WAF.

Is CVE-2025-15345 being actively exploited?

Aunque no se han reportado campañas de explotación activas, la naturaleza de XSS reflejado la convierte en un objetivo potencial. Se recomienda aplicar las medidas de mitigación.

Where can I find the official MapGeo advisory for CVE-2025-15345?

Consulte el sitio web oficial de MapGeo o el repositorio de WordPress para obtener la información más reciente sobre la vulnerabilidad y la actualización disponible.

¿Tu proyecto está afectado?

Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.

WordPress

Detecta esta CVE en tu proyecto

Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.

liveescaneo gratuito

Escanea tu proyecto WordPress ahora — sin cuenta

Sube cualquier manifiesto (composer.lock, package-lock.json, lista de plugins WordPress…) o pega tu lista de componentes. Recibís un reporte de vulnerabilidades al instante. Subir un archivo es solo el primer paso: con una cuenta tenés monitoreo continuo, alertas en tu canal, multi-proyecto y reportes white-label.

Escaneo manualAlertas en Slack/emailMonitoreo continuoReportes white-label

Arrastra y suelta tu archivo de dependencias

composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...