| Nombre del plugin | WP AdCenter |
|---|---|
| Tipo de vulnerabilidad | Scripting entre sitios (XSS) |
| Número CVE | CVE-2024-10113 |
| Urgencia | Baja |
| Fecha de publicación de CVE | 2026-02-03 |
| URL de origen | CVE-2024-10113 |
WP AdCenter (≤ 2.5.7) — XSS almacenado de contribuyente autenticado (CVE-2024-10113): Lo que los propietarios del sitio necesitan saber
De un experto en seguridad de Hong Kong: orientación concisa y pragmática para administradores y desarrolladores. Toma en serio el XSS almacenado: actúa rápidamente y de manera metódica.
TL;DR
- Qué: XSS almacenado en el plugin WP AdCenter (versiones ≤ 2.5.7). Rastreado como CVE‑2024‑10113.
- Quién puede explotarlo: Un contribuyente autenticado (o superior) puede crear contenido publicitario que contenga cargas útiles de script que luego se renderizan a los visitantes o administradores.
- Riesgo: CVSS 6.5 (medio). La explotación requiere un contribuyente autenticado y generalmente alguna interacción del usuario o un administrador que vea el contenido infectado.
- Solución inmediata: Actualiza WP AdCenter a la versión 2.5.8 o posterior.
- Si no puedes actualizar de inmediato: desactiva el plugin, restringe las capacidades del contribuyente, elimina/sanitiza el contenido publicitario, aplica filtrado de solicitudes del lado del servidor (WAF/parche virtual) donde esté disponible y realiza verificaciones forenses.
1. Qué sucedió — resumen rápido
A stored Cross‑Site Scripting (XSS) vulnerability was found in WP AdCenter (versions up to and including 2.5.7). The plugin accepts ad HTML via shortcodes or its ad manager and outputs parts of that content on public pages. Certain input fields were stored and rendered without sufficient sanitization/escaping, allowing an authenticated Contributor to embed JavaScript. When the ad is rendered, the browser executes the script in the visitor’s context.
- Clase de vulnerabilidad: XSS almacenado
- Versiones afectadas: ≤ 2.5.7
- Corregido en: 2.5.8
- Privilegio requerido: Contribuyente (autenticado)
- CVSS: 6.5
- CVE: CVE‑2024‑10113
2. Por qué el XSS almacenado es peligroso — incluso desde un Contribuyente
El XSS almacenado persiste en el sitio y puede afectar a cualquier visitante o administrador que cargue una página que contenga el contenido malicioso. Las consecuencias incluyen:
- Robo de cookies/sesiones y toma de control remoto de sesiones de administrador.
- Acciones realizadas en el contexto de un usuario autenticado (creación de publicaciones, cambios en la configuración).
- Prompts de phishing, formularios de inicio de sesión falsos o desfiguraciones persistentes visibles para los usuarios.
- Entrega de cargas secundarias (malware, redirecciones, criptomineros).
- Pivotar a través de extensiones de navegador u otras relaciones de confianza del lado del cliente.
Debido a que los administradores y editores tienen privilegios más altos, un atacante que pueda hacer que un administrador vea el anuncio infectado puede escalar el impacto rápidamente. Incluso si los colaboradores no pueden gestionar plugins, el XSS almacenado puede ser utilizado en cadenas de ataque para comprometer la integridad del sitio.
3. Causa raíz (técnica, alto nivel)
El plugin permitía que HTML de anuncios no confiables se guardara y se renderizara posteriormente sin escapar o sanitizar adecuadamente. Puntos clave:
