YITH WooCommerce Wishlist <= 3.32.0 - Authenticated (Admin+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin YITH WooCommerce Wishlist, que afecta a versiones hasta la 3.32.0. Esta falla permite a usuarios autenticados con privilegios de administrador inyectar scripts maliciosos.

Contexto técnico

La vulnerabilidad se presenta en la gestión de entradas del plugin, donde no se realiza una correcta validación y escape de datos. Esto permite que un atacante con acceso administrativo pueda almacenar código JavaScript malicioso, que se ejecutará en el navegador de otros usuarios que accedan a la lista de deseos.

Impacto potencial

El impacto potencial incluye la posibilidad de robo de información sensible, manipulación de sesiones de usuario y la ejecución de acciones no autorizadas en nombre de otros usuarios. Esto puede comprometer la integridad de la tienda online y la confianza del cliente.

Vector de explotación

La explotación de esta vulnerabilidad se lleva a cabo mediante la inyección de scripts en campos que permiten la entrada de datos, que posteriormente se muestran sin la debida sanitización a otros usuarios que visualizan la lista de deseos.

Mitigación recomendada

Actualizar el plugin YITH WooCommerce Wishlist a la versión 3.33.0 o superior. Además, se recomienda revisar los permisos de usuario y aplicar medidas de seguridad adicionales como políticas de Content Security Policy (CSP).

Señales de detección

Señales de riesgo pueden incluir la aparición de comportamientos anómalos en la interfaz de usuario, así como reportes de redirecciones no autorizadas o mensajes de error inusuales en la consola del navegador.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin YITH WooCommerce Wishlist hasta la 3.32.0. Es crucial que los administradores de sitios que utilicen este plugin verifiquen su versión actual.