Premium Packages - Sell Digital Products Securely <= 5.9.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via wpdmpp_pay_link Shortcode

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Premium Packages, que afecta a las versiones hasta la 5.9.3. Esta vulnerabilidad permite a usuarios autenticados con rol de contribuyente o superior inyectar scripts maliciosos.

Contexto técnico

La vulnerabilidad se encuentra en el shortcode wpdmpp_pay_link, que no valida correctamente la entrada del usuario. Esto permite que se almacenen scripts maliciosos que se ejecutan en el navegador de otros usuarios cuando acceden a la página afectada.

Impacto potencial

El impacto potencial incluye la posibilidad de robo de información sensible, manipulación de sesiones de usuario y daño a la reputación del sitio. La explotación de esta vulnerabilidad podría comprometer la integridad de los datos y la confianza de los usuarios.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad aprovechando el acceso de usuarios autenticados para insertar código JavaScript malicioso a través del shortcode, el cual se ejecutará en el contexto de otros usuarios que visiten la página.

Mitigación recomendada

Actualizar el plugin Premium Packages a la versión 5.9.4 o superior. Además, se recomienda revisar y limpiar cualquier entrada de usuario que pueda haber sido comprometida y reforzar las políticas de permisos de usuario.

Señales de detección

Señales de riesgo incluyen la aparición de comportamientos inusuales en el sitio, como redirecciones inesperadas o la ejecución de scripts no autorizados en el navegador. Monitorear los registros de acceso y cambios en los shortcodes puede ayudar a identificar intentos de explotación.

Alcance afectado

Las versiones del plugin Premium Packages anteriores a la 5.9.4 están afectadas. Se recomienda a todos los usuarios de este plugin que realicen la actualización de inmediato para mitigar riesgos.