Urgente: JetProductGallery (<= 2.2.0.2) XSS (CVE-2025-54749) — Lo que los propietarios de sitios de WordPress deben hacer ahora

Por experto en seguridad de Hong Kong — 2025-08-15

TL;DR — Resumen rápido

Una vulnerabilidad de Cross‑Site Scripting (XSS) divulgada públicamente (CVE-2025-54749) afecta al plugin JetProductGallery para WooCommerce cuando la versión del plugin instalada es 2.2.0.2 o inferior. El proveedor lanzó una actualización en la versión 2.2.0.3 que soluciona el problema. La vulnerabilidad permite a un usuario con privilegios de Contribuyente inyectar HTML/JavaScript malicioso que podría ejecutarse en los navegadores de otros usuarios cuando se visualizan páginas de productos o componentes de galería.

Si operas un sitio de WordPress que utiliza JetProductGallery:

• Actualiza el plugin a 2.2.0.3 o posterior inmediatamente (el parche del proveedor es la solución principal).
• Si no puedes actualizar de inmediato, aplica mitigaciones: restringe los privilegios de contribuyente, escanea en busca de scripts inyectados, despliega parches virtuales a través de tu WAF o filtros de servidor, y habilita protecciones en tiempo de ejecución como Content Security Policy (CSP) para reducir el impacto.
• Revisa el sitio en busca de signos de compromiso, verifica los registros y restaura desde una copia de seguridad limpia si encuentras evidencia de código malicioso.

Este aviso explica el riesgo, escenarios de ataque realistas, pasos inmediatos a seguir, métodos de detección y medidas de endurecimiento a largo plazo — desde la perspectiva de un profesional de seguridad de Hong Kong familiarizado con el comercio electrónico y entornos de múltiples proveedores.

Antecedentes: Lo que sabemos sobre el problema

• Tipo de vulnerabilidad: Cross‑Site Scripting (XSS)
• Software afectado: JetProductGallery (plugin Jet Woo Product Gallery)
• Versiones afectadas: <= 2.2.0.2
• Corregido en: 2.2.0.3
• CVE: CVE-2025-54749
• Reportado por: investigador de seguridad (divulgación pública)
• Privilegios requeridos para el atacante: Contribuyente (capaz de agregar productos o modificar contenido relacionado con productos)
• CVSS (reportado): 6.5 — severidad media que refleja un riesgo persistente de inyección de contenido

El XSS persistente en un sitio de comercio electrónico tiene un alto impacto en la confianza y seguridad del cliente. El factor distintivo aquí es que una cuenta de nivel Contribuyente puede inyectar cargas útiles que persisten en las páginas de productos — un riesgo real en mercados, tiendas de agencias y catálogos de múltiples autores comunes en Hong Kong y la región.

Por qué esto es importante — rutas de ataque realistas

Un atacante que puede crear o editar contenido de productos (rol de Contribuyente o similar) podría:

• Inyectar etiquetas de script en los subtítulos de la galería, metadatos de imágenes, campos personalizados u otros campos de productos que el plugin renderiza sin el escape adecuado.
• Usar scripts inyectados para redirigir a los usuarios a páginas de phishing, mostrar contenido de superposición malicioso o intentar robar tokens de sesión (sujeto a las protecciones del navegador).
• Cargar recursos maliciosos adicionales (rastreador, scripts de robo) o activar acciones no deseadas del navegador contra los usuarios.
• Persistir cargas útiles para que se activen cada vez que se visualicen páginas de productos o galerías, exponiendo rápidamente a los visitantes a gran escala.

Acciones inmediatas (primeras 1–24 horas)

1. Actualizar JetProductGallery a 2.2.0.3 o posterior

   Esta es la solución principal y definitiva. Actualizar desde el administrador de WordPress (Plugins → Plugins instalados → Actualizar) o a través de WP‑CLI:

   actualización del plugin wp jet-woo-product-gallery

   Verifique el slug del plugin en su instalación; reemplace el slug en el comando si es diferente.

2. Si no puede actualizar de inmediato, implemente controles compensatorios

   Aplique reglas de servidor o WAF para bloquear o sanear etiquetas de script y cargas útiles sospechosas en solicitudes y campos relacionados con el producto que el complemento renderiza (títulos de galería, títulos de imágenes, meta del producto). Bloquee solicitudes POST/PUT que contengan

   Revisa Mi Pedido

   0

   Subtotal

   Impuestos y envío calculados en la caja

   Pagar