Fuente base de datos: Wordfence Intelligence

Connect Contact Form 7, WooCommerce To Google Sheets & Other Platforms – Advanced Form Integration <= 1.62.0 - Authenticated (Admin+) Cross Site Scripting - version 1.63.0

PLUGIN MEDIUM CVE-2022-47173

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross Site Scripting (XSS) en el plugin 'Advanced Form Integration' para WordPress, que afecta a versiones hasta la 1.62.0. Este fallo permite a usuarios autenticados con privilegios de administrador ejecutar código malicioso en el navegador de otros usuarios.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin gestiona las entradas de los usuarios, permitiendo la inyección de scripts maliciosos que pueden ser ejecutados en el contexto de la sesión de otro usuario. Esto representa un vector de ataque que puede ser aprovechado a través de formularios o interacciones en la interfaz de administración.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el navegador de otros administradores, comprometiendo la integridad del sitio web y potencialmente robando información sensible o alterando la configuración del sitio.

Vector de explotación

La explotación de esta vulnerabilidad generalmente se lleva a cabo mediante la creación de una entrada maliciosa que es enviada a través de un formulario del plugin, la cual es luego visualizada por otro usuario con privilegios de administrador.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin a la versión 1.63.0 o superior. Además, es aconsejable revisar las configuraciones de seguridad del sitio y aplicar prácticas de hardening, como la validación y sanitización de entradas.

Señales de detección

Se deben monitorizar registros de actividad inusuales en el panel de administración, así como cualquier comportamiento extraño en los formularios del plugin. Alertas sobre cambios no autorizados en la configuración del sitio también pueden ser indicativas de explotación.

Alcance afectado

Las versiones del plugin 'Advanced Form Integration' hasta la 1.62.0 están afectadas. Es crucial que los administradores de WordPress verifiquen si están utilizando esta versión o anterior.

Vulnerabilidades relacionadas

HIGH PLUGIN

ultimate-addons-for-gutenberg

Spectra Gutenberg Blocks <= 2.19.25 - Authenticated (Contributor+) Remote Code Execution via Arbitrary PHP Function Call via Block Attributes

HIGH PLUGIN

sb-woocommerce-infinite-scrol

WooCommerce Infinite Scroll and Ajax Pagination <= 1.8 - Authenticated (Subscriber+) PHP Object Injection

MEDIUM PLUGIN

woocommerce-currency-switcher

FOX – Currency Switcher Professional for WooCommerce <= 1.4.6 - Authenticated (Subscriber+) Authorization Bypass via User-Controlled Key to 'wooc_order_user_roles' Parameter

HIGH PLUGIN

crawlomatic-multipage-scraper-post-generator

Crawlomatic Multipage Scraper Post Generator <= 2.7.2 - Authenticated (Author+) Remote Code Execution via 'callback_raw' Shortcode Attribute

CRITICAL PLUGIN

otp-login

Login with OTP <= 1.6 - Unauthenticated Authentication Bypass via OTP Brute Force

HIGH PLUGIN

affiliate-toolkit-starter

affiliate-toolkit <= 3.8.5 - Authenticated (Editor+) Remote Code Execution

HIGH PLUGIN

insert-headers-and-footers

WPCode <= 2.3.5 - Authenticated (Author+) Remote Code Execution via CPT Capability Bypass via XML-RPC wp.newPost

LOW PLUGIN

b2bking-wholesale-for-woocommerce

B2BKing — Ultimate WooCommerce B2B and Wholesale Plugin — Wholesale Prices, Bulk Order Form & More < 5.2.10 - Missing Authorization

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto