Fuente base de datos: Wordfence Intelligence

Active Products Tables for WooCommerce. Use constructor to create tables <= 1.0.6.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via woot_button Shortcode

PLUGIN MEDIUM CVE-2024-10168

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin 'Active Products Tables for WooCommerce', que afecta a versiones anteriores a la 1.0.6.5. Este fallo permite a usuarios autenticados con rol de contribuidor y superiores inyectar scripts maliciosos a través del shortcode 'woot_button'.

Contexto técnico

La vulnerabilidad se origina en la falta de validación adecuada de la entrada del usuario en el shortcode 'woot_button'. Esto permite que se almacenen scripts maliciosos en la base de datos, los cuales se ejecutan cuando otros usuarios acceden a las tablas de productos generadas por el plugin.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad de los usuarios que visualizan las tablas de productos, permitiendo a un atacante robar información sensible o realizar acciones no autorizadas en nombre del usuario. Esto puede afectar la reputación del negocio y la confianza de los clientes.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando un payload malicioso a través del shortcode mencionado, lo que resulta en la inyección de scripts que se ejecutan en el navegador de otros usuarios que visualizan la tabla.

Mitigación recomendada

Actualizar el plugin 'Active Products Tables for WooCommerce' a la versión 1.0.6.5 o superior para mitigar esta vulnerabilidad. Además, se recomienda revisar las configuraciones de seguridad del sitio y limitar los permisos de los usuarios con rol de contribuidor.

Señales de detección

Señales de riesgo incluyen la aparición de scripts no autorizados en las tablas de productos o comportamientos inusuales en la interacción de los usuarios con el sitio, como redirecciones inesperadas o ventanas emergentes.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.0.6.5 del plugin 'Active Products Tables for WooCommerce'.