WP ERP | Complete HR solution with recruitment & job listings | WooCommerce CRM & Accounting <= 1.13.1 - Unauthenticated Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin WP ERP, afectando a versiones anteriores a la 1.13.2. Este fallo permite la ejecución de scripts maliciosos sin necesidad de autenticación.

Contexto técnico

La vulnerabilidad se encuentra en la gestión de entradas no validadas, lo que permite a un atacante inyectar código JavaScript malicioso en el contexto de la sesión de otros usuarios. Esto puede llevar a la ejecución de acciones no autorizadas en sus navegadores.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, permitiendo a atacantes robar información sensible, manipular datos o realizar acciones en nombre de los usuarios afectados, lo que puede comprometer la integridad y la confianza en el sistema.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando solicitudes diseñadas que incluyen scripts maliciosos, que son ejecutados en el navegador de la víctima cuando accede a la página afectada.

Mitigación recomendada

Se recomienda actualizar el plugin WP ERP a la versión 1.13.2 o superior. Además, es aconsejable revisar y sanitizar todas las entradas de usuario en el sistema para prevenir futuras inyecciones de código.

Señales de detección

Se pueden detectar intentos de explotación observando patrones inusuales en las solicitudes HTTP, como la inclusión de scripts en parámetros de URL o formularios, así como comportamientos anómalos en los registros de acceso.

Alcance afectado

Las versiones del plugin WP ERP anteriores a la 1.13.2 están afectadas. Es crucial verificar las instalaciones para asegurar que se está utilizando una versión segura.