Resumen ejecutivo
Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) almacenado en el plugin ShopLentor hasta la versión 2.8.7. Esta vulnerabilidad afecta a usuarios autenticados con rol de contribuyente o superior.
Fuente base de datos: Wordfence Intelligence
ShopLentor <= 2.8.7 - Authenticated (Contributor+) Stored Cross-Site Scripting
PLUGIN
MEDIUM
CVE-2024-34767
Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna.
Contexto técnico
El fallo se origina en una inadecuada validación de datos introducidos por el usuario, permitiendo la inyección de código JavaScript malicioso que se almacena y se ejecuta en el navegador de otros usuarios. La superficie de ataque se centra en las funcionalidades del plugin que permiten a los usuarios autenticados insertar contenido.
Impacto potencial
La explotación de esta vulnerabilidad podría comprometer la seguridad de la información de los usuarios, permitiendo a un atacante robar credenciales o realizar acciones no autorizadas en nombre de otros usuarios. Esto puede afectar la confianza en la plataforma y, por ende, impactar negativamente en el negocio.
Vector de explotación
Generalmente, el ataque se lleva a cabo mediante la inyección de scripts maliciosos en campos de entrada que no son adecuadamente filtrados. Un atacante con acceso de contribuyente podría aprovechar esta vulnerabilidad para afectar a otros usuarios que visualicen el contenido malicioso.
Mitigación recomendada
Actualizar el plugin ShopLentor a la versión 2.8.8 o superior. Además, se recomienda revisar las configuraciones de seguridad y aplicar políticas de validación de entrada más estrictas para todos los datos introducidos por los usuarios.
Señales de detección
Señales de riesgo incluyen la aparición de comportamientos inusuales en la interfaz de usuario, como redirecciones inesperadas o la ejecución de scripts no autorizados. Monitorear logs de actividad de usuarios autenticados puede ayudar a identificar accesos sospechosos.
Alcance afectado
Las versiones del plugin ShopLentor anteriores a la 2.8.8 están afectadas. Se recomienda a todos los usuarios de este plugin verificar su versión y proceder a la actualización.
Vulnerabilidades relacionadas
MEDIUM
PLUGIN
woolentor-addons
ShopLentor – WooCommerce Builder for Elementor & Gutenberg +21 Modules – All in One Solution <= 3.2.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode
MEDIUM
PLUGIN
woolentor-addons
ShopLentor <= 3.2.0 - Authenticated (Contributor+) Stored Cross-Site Scripting
MEDIUM
PLUGIN
woolentor-addons
ShopLentor – WooCommerce Builder for Elementor & Gutenberg +20 Modules – All in One Solution (formerly WooLentor) <= 3.1.0 - Authenticated (Contributor+) Stored DOM-Based Cross-Site Scripting via Flash Sale Countdown Module
MEDIUM
PLUGIN
woolentor-addons
ShopLentor – WooCommerce Builder for Elementor & Gutenberg +12 Modules – All in One Solution (formerly WooLentor) <= 2.9.7 - Authenticated (Contributor+) DOM-Based Stored Cross-Site Scripting
MEDIUM
PLUGIN
woolentor-addons
ShopLentor – WooCommerce Builder for Elementor & Gutenberg +12 Modules – All in One Solution (formerly WooLentor) <= 2.9.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via WL Product Horizontal Filter Widget
MEDIUM
PLUGIN
woolentor-addons
ShopLentor <= 2.8.8 - Authenticated (Contributor+) Stored Cross-Site Scripting via woolentorsearch Shortcode
MEDIUM
PLUGIN
woolentor-addons
ShopLentor – WooCommerce Builder for Elementor & Gutenberg +12 Modules – All in One Solution (formerly WooLentor) <= 2.8.7 - Authenticated (contributor+) Stored Cross-Site Scripting via _id
MEDIUM
PLUGIN
woolentor-addons
ShopLentor – WooCommerce Builder for Elementor & Gutenberg +10 Modules – All in One Solution (formerly WooLentor) <= 2.8.1 - Authenticated (Contributor+) Stored Cross-Site Scripting
¿Tu WordPress podría estar expuesto?
Comprueba si tu web tiene esta vulnerabilidad
Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.
Hacer el análisis gratisProtección profesional para tu WordPress
¿Necesitas ayuda de un experto?
Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.
Hablar con un experto