Resumen

El 1 de junio de 2026 se divulgó públicamente una vulnerabilidad de Cross-Site Scripting almacenada que afecta al plugin Reemplazador de Palabras de WordPress (versiones ≤ 0.4) y se le asignó CVE-2026-3620. El problema es un XSS almacenado, solo para administradores autenticados, lo que significa que un usuario con privilegios de Administrador en WordPress puede guardar una entrada maliciosa que luego se renderiza sin el escape adecuado, causando que JavaScript se ejecute en el navegador de los visitantes del sitio u otros usuarios administrativos.

Aunque esta vulnerabilidad requiere acceso de Administrador para introducir la carga útil, las consecuencias pueden ser graves: toma de control persistente de cuentas, desfiguración del sitio, instalación de puertas traseras, robo de cookies/tokens, escalada de privilegios y movimiento lateral dentro del sitio. La puntuación base de CVSS reportada es 5.9 (media), pero el riesgo práctico depende en gran medida de si un atacante puede adquirir o coaccionar una cuenta de Administrador (ingeniería social, contraseñas reutilizadas, dispositivos comprometidos, contratista deshonesto, etc.).

Esta guía resume cómo funciona la vulnerabilidad, escenarios de ataque realistas, indicadores de detección, pasos de contención y mitigación (incluidas soluciones temporales), endurecimiento a largo plazo y orientación para desarrolladores para solucionar la causa raíz.

Crédito: vulnerabilidad divulgada en un aviso público (CVE-2026-3620). Investigación acreditada a san6051 (COFFSec).

¿Qué es XSS Almacenado y por qué es importante un vector de “administrador autenticado”?

El Cross-Site Scripting Almacenado (XSS) ocurre cuando un atacante almacena un script malicioso en datos del lado del servidor (base de datos, tabla de opciones, publicaciones, configuraciones de plugins, etc.) y ese script se entrega posteriormente a otros usuarios sin el escape o saneamiento adecuado. Debido a que la carga útil es persistente, muchos visitantes y usuarios pueden verse afectados con el tiempo.

Un calificador de “administrador autenticado” significa que solo las cuentas con capacidades de Administrador pueden guardar la carga útil maliciosa. Eso reduce la superficie de ataque inmediata en comparación con errores no autenticados, pero sigue siendo peligroso porque:

• Las cuentas de Administrador son objetivos frecuentes a través de phishing, relleno de credenciales e ingeniería social.
• Los Administradores pueden crear contenido y datos persistentes del sitio.
• Un atacante puede coaccionar a un Administrador para que pegue o importe cargas útiles, o usar un administrador comprometido para inyectar directamente entradas maliciosas.
• El XSS almacenado que se renderiza en el panel de administración puede comprometer inmediatamente otras sesiones administrativas.

Incluso el XSS almacenado “solo para administradores” puede llevar a un compromiso total del sitio cuando se combina con técnicas de ataque del mundo real.

Cómo funciona la vulnerabilidad del Reemplazador de Palabras (a alto nivel)

El problema técnico central es sencillo:

1. El plugin expone una interfaz de usuario para que los administradores definan reglas de reemplazo que se almacenan en la base de datos.
2. Cuando se guardan esas configuraciones, el plugin no logra sanitizar o validar adecuadamente el contenido de reemplazo.
3. Cuando el plugin renderiza esos valores almacenados en el front-end o en el panel de administración, muestra el contenido en HTML sin escapar, permitiendo que JavaScript incrustado se ejecute.
4. El script se ejecuta con el origen del sitio, habilitando acciones como el visitante víctima o administrador.

Los patrones inseguros típicos incluyen:

• Almacenar HTML sin procesar o texto no escapado y mostrarlo directamente (por ejemplo, echo $value;) en lugar de usar esc_html(), esc_attr() o wp_kses().
• Construir cadenas de reemplazo que se insertan en el HTML de la página o atributos sin el escape adecuado.
• Permitir que controladores de eventos o URIs javascript: se guarden como parte de las entradas.

Escenarios de ataque realistas

• Cuenta de administrador rebelde: Un atacante que controla una cuenta de administrador instala entradas de reemplazo que inyectan JavaScript en páginas y paneles, permitiendo la creación de nuevos administradores, ediciones de temas o abuso de la API REST.
• Administrador comprometido a través de phishing/reutilización de credenciales: Un atacante engaña a un administrador para que pegue o guarde entradas de reemplazo proporcionadas por el atacante o haga clic en una URL de importación que contenga cargas útiles.
• Uso indebido de terceros: Un contratista o agencia con acceso de administrador introduce contenido no escapado.
• Pivotaje dirigido: El XSS almacenado se ejecuta en el panel de administración y roba tokens de autenticación o nonces, habilitando acciones adicionales.

Aunque la toma de control remota no autenticada no está disponible a través de este error por sí solo, la ingeniería social y el compromiso dirigido a menudo cierran esa brecha.

Impacto y objetivos típicos del atacante

Una vez que se ejecuta el XSS almacenado, los atacantes comúnmente buscan:

• Robar tokens de sesión y tomar el control de cuentas.
• Crear nuevos usuarios Administradores o elevar privilegios.
• Instalar puertas traseras persistentes (plugins maliciosos, temas modificados, cargas de PHP).
• Redirigir a los visitantes a estafas o descargas automáticas.
• Mostrar contenido fraudulento o inyectar código de monetización.
• Recopilar datos de clientes de formularios, comentarios o páginas de comercio electrónico.
• Pivotar a paneles de hosting o APIs si las credenciales están presentes en la interfaz de administración.

Contexto de CVE y severidad

• Identificador CVE: CVE-2026-3620
• Versiones afectadas: Plugin Word Replacer ≤ 0.4
• Tipo: Cross-Site Scripting (XSS) Almacenado
• Privilegio requerido: Administrador
• Estado del parche (en la divulgación): No hay parche oficial del plugin disponible
• Base CVSS: 5.9
• Crédito de investigación: san6051 (COFFSec)

Incluso con un CVSS “medio”, trata esta vulnerabilidad como urgente para sitios donde las cuentas de administrador están en riesgo o donde los administradores aceptan entradas de terceros.

Detección — indicadores de compromiso

Técnicas clave de detección:

1. Buscar en la base de datos reglas o entradas de reemplazo sospechosas:

   Buscar etiquetas HTML (

   Revisa Mi Pedido

   0

   Subtotal

   Impuestos y envío calculados en la caja

   Pagar