Min and Max Purchase for WooCommerce <= 2.0.0 - Authenticated (Contributor+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin 'Min and Max Purchase for WooCommerce' en versiones anteriores a la 2.0.0. Este fallo permite a usuarios autenticados con rol de colaborador o superior inyectar scripts maliciosos en el sitio web.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja las entradas de los usuarios. Al no sanitizar correctamente los datos introducidos, un atacante puede almacenar código JavaScript malicioso que se ejecutará en el navegador de otros usuarios cuando accedan a las páginas afectadas.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante robar información sensible, realizar acciones no autorizadas en nombre de otros usuarios o manipular la experiencia de los visitantes del sitio, afectando la confianza y la integridad del negocio.

Vector de explotación

Generalmente, la explotación se realiza mediante la creación de un contenido que incluya el script malicioso, el cual es posteriormente visualizado por otros usuarios. Esto requiere que el atacante tenga acceso como colaborador o superior en el sitio.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 2.0.0 o superior. Además, es aconsejable revisar y sanitizar todas las entradas de usuario en el sitio, así como implementar medidas de seguridad adicionales como Content Security Policy (CSP).

Señales de detección

Se pueden detectar intentos de explotación observando actividades inusuales en los registros de acceso, así como la aparición de scripts no autorizados en el contenido generado por los usuarios.

Alcance afectado

Las versiones del plugin 'Min and Max Purchase for WooCommerce' anteriores a la 2.0.0 están afectadas. Es importante verificar la versión instalada en todas las instalaciones que utilicen este plugin.