Product page shipping calculator for WooCommerce <= 1.3.25 - Authenticated (Administrator+) Stored Cross-Site Scripting via admin settings

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin 'Product Page Shipping Calculator for WooCommerce' en versiones hasta la 1.3.25. Esta vulnerabilidad permite a un administrador autenticado inyectar scripts maliciosos a través de la configuración del plugin.

Contexto técnico

El fallo se origina en una falta de validación adecuada de los datos introducidos en las configuraciones del plugin. Esto permite que un atacante con privilegios de administrador pueda almacenar scripts en la base de datos, que se ejecutarán en el navegador de otros usuarios que accedan a la página afectada.

Impacto potencial

El impacto potencial incluye la posibilidad de robar información sensible de los usuarios o realizar acciones no autorizadas en nombre de los mismos. Esto podría comprometer la integridad y la confidencialidad de los datos, así como dañar la reputación de la empresa.

Vector de explotación

La explotación se lleva a cabo mediante la inyección de código JavaScript malicioso en los campos de configuración del plugin, que luego se ejecuta al cargar la página donde se muestra la información almacenada.

Mitigación recomendada

Actualizar el plugin a la versión 1.3.26 o superior. Además, se recomienda revisar las configuraciones actuales del plugin para eliminar cualquier script potencialmente malicioso y reforzar las políticas de validación de entrada.

Señales de detección

Señales de riesgo incluyen cambios no autorizados en las configuraciones del plugin y la aparición de comportamientos inusuales en la interfaz de usuario, como la ejecución de scripts no esperados.

Alcance afectado

Todas las instalaciones que utilicen el plugin 'Product Page Shipping Calculator for WooCommerce' en versiones hasta la 1.3.25 están afectadas.