Recently viewed and most viewed products <= 1.1.1 - Authenticated (Shop Manager+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin 'Recently viewed and most viewed products' en versiones hasta la 1.1.1. Esta vulnerabilidad permite a usuarios autenticados inyectar scripts maliciosos en el navegador de otros usuarios.

Contexto técnico

El fallo reside en la forma en que el plugin maneja la entrada de datos de usuarios autenticados, permitiendo la inyección de código JavaScript. Esto se traduce en un riesgo de ejecución de scripts no autorizados en el contexto del navegador de otros usuarios, lo que puede comprometer la integridad de la sesión y la seguridad de los datos.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la ejecución de scripts maliciosos, lo que podría resultar en el robo de información sensible, como credenciales de acceso o datos personales de los usuarios. Además, puede afectar la reputación de la tienda online y la confianza de los clientes.

Vector de explotación

Generalmente, la explotación se realiza a través de la manipulación de parámetros en formularios o peticiones que permiten a un atacante autenticado inyectar código malicioso, el cual se ejecuta en el navegador de otros usuarios que visualizan la misma página.

Mitigación recomendada

Actualizar el plugin 'Recently viewed and most viewed products' a la versión 1.1.1 o superior. Además, se recomienda revisar las configuraciones de seguridad del sitio y aplicar medidas de validación y sanitización de datos en todas las entradas del usuario.

Señales de detección

Señales de riesgo incluyen la aparición de comportamientos inusuales en la interfaz de usuario, como mensajes de error inesperados o redirecciones a sitios no autorizados. También se deben monitorizar los logs de acceso en busca de patrones de acceso inusuales por parte de usuarios autenticados.

Alcance afectado

Las versiones del plugin 'Recently viewed and most viewed products' hasta la 1.1.1 son las afectadas. Se recomienda verificar todas las instalaciones que utilicen este plugin.