Add Customer for WooCommerce <= 1.7 - Authenticated (Administrator+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin 'Add Customer for WooCommerce' en versiones hasta la 1.7. Esta vulnerabilidad permite a un atacante autenticado inyectar scripts maliciosos que pueden ser ejecutados por otros usuarios.

Contexto técnico

El fallo se origina en la forma en que el plugin maneja las entradas de los usuarios, permitiendo la inyección de código JavaScript en el almacenamiento. Esta vulnerabilidad afecta a la superficie de ataque de los administradores que gestionan el plugin, ya que requiere que el atacante tenga acceso a una cuenta de administrador.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el navegador de otros usuarios, lo que podría llevar al robo de información sensible o a la manipulación de la sesión del usuario. Esto puede comprometer la integridad del sitio y la confianza de los clientes.

Vector de explotación

La explotación de esta vulnerabilidad generalmente se realiza mediante la creación de una entrada maliciosa que se almacena en el sistema y se muestra a otros usuarios, aprovechando el acceso como administrador para inyectar el código.

Mitigación recomendada

Se recomienda actualizar el plugin a la versión 1.7.1 o superior para mitigar esta vulnerabilidad. Además, se sugiere implementar medidas de seguridad adicionales, como la validación y el saneamiento de las entradas de los usuarios.

Señales de detección

Señales de riesgo incluyen la presencia de entradas inusuales en el sistema que podrían contener scripts, así como informes de comportamientos extraños por parte de los usuarios, como redirecciones o ventanas emergentes inesperadas.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.7.1 del plugin 'Add Customer for WooCommerce'.