PPOM for WooCommerce <= 32.0.5 - Authenticated (Administrator+) Stored Cross-Site Scripting via plugin settings

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo XSS almacenado en el plugin PPOM for WooCommerce en versiones hasta la 32.0.5. Esta falla permite a un administrador autenticado inyectar scripts maliciosos a través de la configuración del plugin.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja las entradas de los usuarios en sus ajustes. Al no sanitizar adecuadamente los datos, un atacante con privilegios de administrador puede introducir código JavaScript que se ejecutará en el navegador de otros usuarios, comprometiendo la integridad de la aplicación.

Impacto potencial

El impacto potencial incluye la posibilidad de robo de información sensible, redirecciones a sitios maliciosos o la ejecución de acciones no autorizadas en nombre de otros usuarios. Esto puede afectar la confianza de los clientes y la reputación de la tienda online.

Vector de explotación

Generalmente, la explotación se realiza mediante la modificación de los ajustes del plugin por parte de un administrador, donde se inyecta el código malicioso. Posteriormente, cuando otros usuarios acceden a las páginas afectadas, el script se ejecuta.

Mitigación recomendada

Actualizar el plugin PPOM for WooCommerce a la versión 32.0.6 o superior. Además, se recomienda revisar los permisos de los administradores y realizar auditorías de seguridad regulares para detectar posibles configuraciones inseguras.

Señales de detección

Señales de riesgo incluyen cambios no autorizados en la configuración del plugin y actividad inusual en las sesiones de usuario, especialmente de administradores. Monitorizar los logs de acceso puede ayudar a identificar accesos sospechosos.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin PPOM for WooCommerce hasta la 32.0.5. La versión 32.0.6 y posteriores contienen la corrección de esta vulnerabilidad.