EAN for WooCommerce <= 4.9.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via alg_wc_ean_product_meta Shortcode

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin EAN for WooCommerce en versiones hasta la 4.9.2. Esta vulnerabilidad permite a usuarios autenticados con rol de contribuidor o superior inyectar scripts maliciosos.

Contexto técnico

La vulnerabilidad se encuentra en el shortcode `alg_wc_ean_product_meta`, que no valida adecuadamente la entrada de datos. Esto permite que un atacante inyecte código JavaScript que se ejecutará en el navegador de otros usuarios que visualicen la página afectada.

Impacto potencial

El impacto potencial incluye la posibilidad de robo de información sensible, suplantación de identidad y manipulación del contenido del sitio web. Esto puede afectar la confianza de los usuarios y la reputación del negocio.

Vector de explotación

La explotación de esta vulnerabilidad se realiza mediante la creación de un contenido que incluya el shortcode afectado, permitiendo así la ejecución de scripts maliciosos cuando otros usuarios acceden a la página.

Mitigación recomendada

Actualizar el plugin EAN for WooCommerce a la versión 4.9.3 o superior. Además, se recomienda revisar y sanitizar todas las entradas de datos en el plugin para prevenir futuros problemas de XSS.

Señales de detección

Señales de riesgo incluyen la aparición de comportamientos inusuales en el sitio, como redirecciones no autorizadas o la inyección de contenido extraño en las páginas web.

Alcance afectado

Las versiones afectadas son EAN for WooCommerce hasta la 4.9.2. Todas las instalaciones que utilicen estas versiones están en riesgo.