SuperSearch de la Biblia <= 6.0.1 — XSS almacenado autenticado (Contribuyente+) a través de selector_height: Lo que los propietarios de sitios y desarrolladores deben hacer ahora

TL;DR

Se ha divulgado una vulnerabilidad de Cross‑Site Scripting (XSS) almacenada que afecta al plugin de WordPress “Bible SuperSearch” (versiones ≤ 6.0.1) (CVE‑2025‑8064). Un usuario autenticado con privilegios de Contribuyente o superiores puede inyectar una carga útil a través del plugin. selector_height parámetro. La carga útil se persiste y puede ejecutarse más tarde en el contexto de administradores o visitantes del sitio. El autor del plugin solucionó el problema en la versión 6.1.0.

Acciones inmediatas (lista rápida):

• Actualiza SuperSearch de la Biblia a 6.1.0 (o posterior) de inmediato.
• Si no puedes actualizar de inmediato, restringe las cuentas de Contribuidor+, desactiva el plugin o aplica parches virtuales a través de tu proveedor de hosting/WAF.
• Escanea tu base de datos y la configuración de widgets/plugins en busca de selector_height valores sospechosos o etiquetas de script incrustadas y elimínalas.
• Realiza higiene de credenciales para cuentas con privilegios elevados y monitorea los registros en busca de signos de explotación.

Esta guía proporciona contexto técnico, escenarios de ataque realistas, pasos de detección, medidas de contención, consejos de endurecimiento para desarrolladores y sugerencias prácticas de firmas y monitoreo de WAF. El tono es práctico y está orientado hacia operadores de sitios y desarrolladores de plugins; los consejos son neutrales en cuanto a proveedores.

Resumen: qué sucedió y por qué es importante

El 20 de agosto de 2025 se divulgó una vulnerabilidad XSS almacenada (CVE‑2025‑8064) en Bible SuperSearch ≤ 6.0.1. Un Contribuyente autenticado (o superior) puede enviar datos a través de selector_height los cuales el plugin almacena y luego muestra sin suficiente saneamiento/escapado. Debido a que el valor se persiste, el marcado o script inyectado se ejecuta en el navegador de administradores, editores o visitantes públicos dependiendo del contexto de salida.

El XSS almacenado es particularmente peligroso: la carga útil persiste del lado del servidor y se ejecuta cada vez que se renderiza la salida vulnerable. Las consecuencias incluyen toma de control administrativo, robo de sesión, desfiguración persistente del sitio y distribución de malware del lado del cliente.

Aunque esta vulnerabilidad requiere una cuenta de Contribuidor para ser explotada (reduciendo la inmediatez en comparación con fallos no autenticados), las cuentas de Contribuidor son comunes y pueden ser abusadas o comprometidas. Trata la presencia de tal falla como un riesgo operativo significativo.

Qué versiones están afectadas y dónde se solucionó

• Versiones afectadas: Bible SuperSearch ≤ 6.0.1
• Solucionado en: 6.1.0
• CVE: CVE‑2025‑8064
• Privilegio requerido: Contribuyente

Cómo funciona la vulnerabilidad — resumen técnico (no del proveedor)

A un alto nivel:

1. El plugin acepta un selector_height parámetro (configuraciones del widget, atributos del shortcode, formulario de administrador o AJAX).
2. El valor se almacena en almacenamiento persistente (postmeta, opciones, configuraciones del widget) sin una validación o saneamiento adecuado.
3. Más tarde, el valor almacenado se representa en una página o interfaz de administrador sin el escape adecuado, permitiendo la ejecución de HTML/JS.
4. Un atacante puede insertar cargas útiles como or . Cuando un administrador carga una página que muestra el valor almacenado, el navegador ejecuta la carga útil en el contexto de sesión de ese usuario.

Debido a que las cargas útiles de XSS almacenadas persisten, el código del atacante puede ser activado repetidamente y utilizado para escalar el acceso, crear puertas traseras persistentes o exfiltrar tokens de autenticación.

Escenarios de explotación realistas

1. Insiders maliciosos o cuenta de Contribuyente comprometida — Un contribuyente inyecta una carga útil en configuraciones de widget o plugin que se ejecuta cuando un Editor/Admin ve el área afectada.
2. Publicaciones de invitados/flujos editoriales — Un Contribuyente que envía publicaciones o crea contenido puede incrustar cargas útiles que se activan durante la vista previa editorial o cuando los Editores aprueban contenido.
3. Explotación masiva a través de la creación de cuentas — Si un atacante registra muchas cuentas de Contribuyente (política de registro débil), puede plantar múltiples cargas útiles para persistir en las vistas de administrador.
4. Escaneo e inyección automatizados — Los atacantes oportunistas escanean instalaciones del plugin vulnerable y publican cargas útiles automáticamente en puntos finales expuestos.

Impacto y lo que un atacante puede hacer

XSS almacenado permite a un atacante:

• Robar cookies o tokens de sesión e intentar tomar el control de la cuenta.
• Realizar acciones a través del navegador de un administrador (operaciones al estilo CSRF).
• Instalar puertas traseras emitiendo solicitudes autenticadas desde la sesión de un administrador.
• Inyectar spam, redirigir tráfico o cargar malware del lado del cliente.

Detección e indicadores de compromiso (IoCs)

Inspeccionar lo siguiente:

• Valores de configuración del plugin, opciones de widgets, postmeta y opciones para HTML o JS incrustados (buscar
  Revisa Mi Pedido

  0

  Subtotal

  Impuestos y envío calculados en la caja

  Pagar