CURCY – Multi Currency for WooCommerce <= 2.2.0.1 - Authenticated (Contributor+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin CURCY – Multi Currency para WooCommerce, afectando a las versiones hasta la 2.2.0.1. Esta vulnerabilidad permite a usuarios autenticados con rol de contribuidor o superior inyectar scripts maliciosos.

Contexto técnico

El fallo se origina en la falta de validación adecuada de entradas en el plugin CURCY, lo que permite a un atacante inyectar código JavaScript que se ejecuta en el navegador de otros usuarios. Esta vulnerabilidad se clasifica como XSS almacenado, ya que el código malicioso se almacena en el servidor y se ejecuta cuando otros usuarios acceden a la información comprometida.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad de los usuarios del sitio web, permitiendo el robo de información sensible, la manipulación de sesiones y la difusión de malware. Esto puede resultar en daños a la reputación del negocio y pérdidas económicas.

Vector de explotación

Un atacante puede explotar esta vulnerabilidad al crear contenido que incluya scripts maliciosos y luego persuadir a otros usuarios a interactuar con dicho contenido, lo que desencadenaría la ejecución del código en su navegador.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin CURCY a la versión 2.2.1 o superior. Además, se debe revisar y reforzar la validación de entradas en el sitio, así como aplicar políticas de seguridad de contenido (CSP) para limitar la ejecución de scripts no autorizados.

Señales de detección

Las señales de riesgo incluyen la aparición de comportamientos inusuales en el sitio, como redireccionamientos no autorizados, mensajes de error relacionados con scripts o quejas de usuarios sobre comportamientos extraños en sus navegadores.

Alcance afectado

Las versiones del plugin CURCY – Multi Currency para WooCommerce hasta la 2.2.0.1 están afectadas. Los sitios que utilizan estas versiones son vulnerables a la explotación de este fallo.