Event Manager for WooCommerce <= 3.8.6 - Authenticated (Administrator+) Stored Cross-Site Scripting via 'mep_get_option' function

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Event Manager for WooCommerce, que afecta a las versiones hasta la 3.8.6. Esta vulnerabilidad permite a un administrador autenticado ejecutar scripts maliciosos a través de la función 'mep_get_option'.

Contexto técnico

El fallo se origina en la función 'mep_get_option', que no valida adecuadamente la entrada del usuario, permitiendo la inyección de código JavaScript. Esta vulnerabilidad se clasifica como XSS almacenado, lo que significa que el código malicioso puede ser almacenado en el servidor y ejecutado en el navegador de otros usuarios.

Impacto potencial

La explotación de esta vulnerabilidad podría comprometer la integridad de la aplicación y permitir a un atacante ejecutar scripts en el contexto de otros usuarios, lo que podría resultar en el robo de información sensible o la manipulación de datos. Esto podría afectar la reputación del negocio y la confianza de los usuarios.

Vector de explotación

Generalmente, un atacante autenticado podría aprovechar esta vulnerabilidad insertando un script malicioso a través de la función vulnerable, que luego se ejecutaría cuando otros administradores o usuarios accedan a la misma funcionalidad.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Event Manager for WooCommerce a la versión 3.8.7 o superior. Además, se sugiere revisar y validar todas las entradas de usuario en el sistema para prevenir futuras inyecciones de código.

Señales de detección

Señales que pueden indicar la explotación de esta vulnerabilidad incluyen la aparición de scripts no autorizados en las páginas administradas o en las respuestas del servidor que contienen código JavaScript sospechoso.

Alcance afectado

Las versiones del plugin Event Manager for WooCommerce hasta la 3.8.6 son vulnerables. La versión 3.8.7 y posteriores han corregido este problema.