SuperSearch de la Biblia <= 6.0.1 — Authenticated (Contributor+) Stored XSS via selector_height: What site owners and developers must do now

TL;DR

A stored Cross‑Site Scripting (XSS) vulnerability affecting the WordPress plugin “Bible SuperSearch” (versions ≤ 6.0.1) has been disclosed (CVE‑2025‑8064). An authenticated user with Contributor privileges or higher can inject a payload via the plugin’s selector_height parámetro. La carga útil se persiste y puede ejecutarse más tarde en el contexto de administradores o visitantes del sitio. El autor del plugin solucionó el problema en la versión 6.1.0.

Acciones inmediatas (lista rápida):

• Actualiza SuperSearch de la Biblia a 6.1.0 (o posterior) de inmediato.
• Si no puedes actualizar de inmediato, restringe las cuentas de Contribuidor+, desactiva el plugin o aplica parches virtuales a través de tu proveedor de hosting/WAF.
• Escanea tu base de datos y la configuración de widgets/plugins en busca de selector_height valores sospechosos o etiquetas de script incrustadas y elimínalas.
• Realiza higiene de credenciales para cuentas con privilegios elevados y monitorea los registros en busca de signos de explotación.

Esta guía proporciona contexto técnico, escenarios de ataque realistas, pasos de detección, medidas de contención, consejos de endurecimiento para desarrolladores y sugerencias prácticas de firmas y monitoreo de WAF. El tono es práctico y está orientado hacia operadores de sitios y desarrolladores de plugins; los consejos son neutrales en cuanto a proveedores.

Resumen: qué sucedió y por qué es importante

On 20 August 2025 a stored XSS vulnerability (CVE‑2025‑8064) in Bible SuperSearch ≤ 6.0.1 was disclosed. An authenticated Contributor (or higher) can submit data via selector_height los cuales el plugin almacena y luego muestra sin suficiente saneamiento/escapado. Debido a que el valor se persiste, el marcado o script inyectado se ejecuta en el navegador de administradores, editores o visitantes públicos dependiendo del contexto de salida.

El XSS almacenado es particularmente peligroso: la carga útil persiste del lado del servidor y se ejecuta cada vez que se renderiza la salida vulnerable. Las consecuencias incluyen toma de control administrativo, robo de sesión, desfiguración persistente del sitio y distribución de malware del lado del cliente.

Aunque esta vulnerabilidad requiere una cuenta de Contribuidor para ser explotada (reduciendo la inmediatez en comparación con fallos no autenticados), las cuentas de Contribuidor son comunes y pueden ser abusadas o comprometidas. Trata la presencia de tal falla como un riesgo operativo significativo.

Qué versiones están afectadas y dónde se solucionó

• Affected versions: Bible SuperSearch ≤ 6.0.1
• Solucionado en: 6.1.0
• CVE: CVE‑2025‑8064
• Privilegio requerido: Contribuyente

Cómo funciona la vulnerabilidad — resumen técnico (no del proveedor)

A un alto nivel:

1. El plugin acepta un selector_height parámetro (configuraciones del widget, atributos del shortcode, formulario de administrador o AJAX).
2. El valor se almacena en almacenamiento persistente (postmeta, opciones, configuraciones del widget) sin una validación o saneamiento adecuado.
3. Más tarde, el valor almacenado se representa en una página o interfaz de administrador sin el escape adecuado, permitiendo la ejecución de HTML/JS.
4. Un atacante puede insertar cargas útiles como or . When an admin loads a page showing the stored value, the browser executes the payload in that user’s session context.

Because stored XSS payloads persist, the attacker’s code can be triggered repeatedly and used to escalate access, create persistent backdoors, or exfiltrate authentication tokens.

Escenarios de explotación realistas

1. Insiders maliciosos o cuenta de Contribuyente comprometida — Un contribuyente inyecta una carga útil en configuraciones de widget o plugin que se ejecuta cuando un Editor/Admin ve el área afectada.
2. Publicaciones de invitados/flujos editoriales — Un Contribuyente que envía publicaciones o crea contenido puede incrustar cargas útiles que se activan durante la vista previa editorial o cuando los Editores aprueban contenido.
3. Explotación masiva a través de la creación de cuentas — Si un atacante registra muchas cuentas de Contribuyente (política de registro débil), puede plantar múltiples cargas útiles para persistir en las vistas de administrador.
4. Escaneo e inyección automatizados — Los atacantes oportunistas escanean instalaciones del plugin vulnerable y publican cargas útiles automáticamente en puntos finales expuestos.

Impacto y lo que un atacante puede hacer

XSS almacenado permite a un atacante:

• Robar cookies o tokens de sesión e intentar tomar el control de la cuenta.
• Perform actions via an admin’s browser (CSRF‑style operations).
• Install backdoors by issuing authenticated requests from an administrator’s session.
• Inyectar spam, redirigir tráfico o cargar malware del lado del cliente.

Detección e indicadores de compromiso (IoCs)

Inspeccionar lo siguiente:

• Valores de configuración del plugin, opciones de widgets, postmeta y opciones para HTML o JS incrustados (buscar
  Revisa Mi Pedido

  0

  Subtotal

  Impuestos y envío calculados en la caja

  Pagar