| Nombre del plugin | WP AdCenter |
|---|---|
| Tipo de vulnerabilidad | Scripting entre sitios (XSS) |
| Número CVE | CVE-2024-10113 |
| Urgencia | Baja |
| Fecha de publicación de CVE | 2026-02-03 |
| URL de origen | CVE-2024-10113 |
WP AdCenter (≤ 2.5.7) — XSS almacenado de contribuyente autenticado (CVE-2024-10113): Lo que los propietarios del sitio necesitan saber
De un experto en seguridad de Hong Kong: orientación concisa y pragmática para administradores y desarrolladores. Toma en serio el XSS almacenado: actúa rápidamente y de manera metódica.
TL;DR
- Qué: XSS almacenado en el plugin WP AdCenter (versiones ≤ 2.5.7). Rastreado como CVE‑2024‑10113.
- Quién puede explotarlo: Un contribuyente autenticado (o superior) puede crear contenido publicitario que contenga cargas útiles de script que luego se renderizan a los visitantes o administradores.
- Riesgo: CVSS 6.5 (medio). La explotación requiere un contribuyente autenticado y generalmente alguna interacción del usuario o un administrador que vea el contenido infectado.
- Solución inmediata: Actualiza WP AdCenter a la versión 2.5.8 o posterior.
- Si no puedes actualizar de inmediato: desactiva el plugin, restringe las capacidades del contribuyente, elimina/sanitiza el contenido publicitario, aplica filtrado de solicitudes del lado del servidor (WAF/parche virtual) donde esté disponible y realiza verificaciones forenses.
1. Qué sucedió — resumen rápido
Se encontró una vulnerabilidad de Cross‑Site Scripting (XSS) almacenada en WP AdCenter (versiones hasta e incluyendo 2.5.7). El plugin acepta HTML de anuncios a través de shortcodes o su administrador de anuncios y muestra partes de ese contenido en páginas públicas. Ciertos campos de entrada se almacenaron y se representaron sin suficiente saneamiento/escapado, permitiendo a un Contribuyente autenticado incrustar JavaScript. Cuando se renderiza el anuncio, el navegador ejecuta el script en el contexto del visitante.
- Clase de vulnerabilidad: XSS almacenado
- Versiones afectadas: ≤ 2.5.7
- Corregido en: 2.5.8
- Privilegio requerido: Contribuyente (autenticado)
- CVSS: 6.5
- CVE: CVE‑2024‑10113
2. Por qué el XSS almacenado es peligroso — incluso desde un Contribuyente
El XSS almacenado persiste en el sitio y puede afectar a cualquier visitante o administrador que cargue una página que contenga el contenido malicioso. Las consecuencias incluyen:
- Robo de cookies/sesiones y toma de control remoto de sesiones de administrador.
- Acciones realizadas en el contexto de un usuario autenticado (creación de publicaciones, cambios en la configuración).
- Prompts de phishing, formularios de inicio de sesión falsos o desfiguraciones persistentes visibles para los usuarios.
- Entrega de cargas secundarias (malware, redirecciones, criptomineros).
- Pivotar a través de extensiones de navegador u otras relaciones de confianza del lado del cliente.
Debido a que los administradores y editores tienen privilegios más altos, un atacante que pueda hacer que un administrador vea el anuncio infectado puede escalar el impacto rápidamente. Incluso si los colaboradores no pueden gestionar plugins, el XSS almacenado puede ser utilizado en cadenas de ataque para comprometer la integridad del sitio.
3. Causa raíz (técnica, alto nivel)
El plugin permitía que HTML de anuncios no confiables se guardara y se renderizara posteriormente sin escapar o sanitizar adecuadamente. Puntos clave:
