Email Template Customizer for WooCommerce <= 1.2.9.1 - Authenticated (Shop manager+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Email Template Customizer for WooCommerce, afectando a versiones hasta la 1.2.9.1. Esta vulnerabilidad permite a usuarios autenticados, como los gestores de tienda, inyectar código malicioso en las plantillas de correo electrónico.

Contexto técnico

El fallo se origina en la forma en que el plugin maneja la entrada de datos en las plantillas de correo electrónico. La falta de una adecuada validación y sanitización de los datos permite que se inserten scripts maliciosos, lo que abre la puerta a ataques XSS.

Impacto potencial

La explotación de esta vulnerabilidad podría comprometer la seguridad de la tienda online, permitiendo a un atacante robar información sensible o realizar acciones no autorizadas en nombre de otros usuarios. Esto podría afectar la confianza del cliente y la reputación del negocio.

Vector de explotación

Generalmente, un atacante con acceso a la gestión de la tienda podría crear o modificar plantillas de correo electrónico para incluir scripts maliciosos que se ejecuten en el navegador de otros usuarios cuando reciban dichos correos.

Mitigación recomendada

Se recomienda actualizar el plugin a la versión 1.2.9.2 o superior, donde se ha corregido esta vulnerabilidad. Además, se sugiere revisar las configuraciones de seguridad y aplicar medidas de hardening en la gestión de entradas de datos.

Señales de detección

Se pueden observar comportamientos sospechosos en las plantillas de correo electrónico, como la inclusión de scripts no autorizados o la modificación de contenido sin justificación aparente. También se deben revisar los logs de actividad de los usuarios.

Alcance afectado

Las versiones del plugin Email Template Customizer for WooCommerce hasta la 1.2.9.1 están afectadas. Las instalaciones que no han sido actualizadas a la versión 1.2.9.2 o superior son vulnerables.