ShopLentor – WooCommerce Builder for Elementor & Gutenberg +20 Modules – All in One Solution (formerly WooLentor) <= 3.1.0 - Authenticated (Contributor+) Stored DOM-Based Cross-Site Scripting via Flash Sale Countdown Module

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin ShopLentor para WooCommerce, que afecta a versiones anteriores a la 3.1.1. Esta vulnerabilidad permite a los atacantes autenticados inyectar scripts maliciosos a través del módulo de cuenta regresiva de ventas flash.

Contexto técnico

La vulnerabilidad se origina en el módulo de cuenta regresiva de ventas flash del plugin, permitiendo la inyección de código JavaScript en el DOM. Esto se debe a una falta de validación adecuada de los datos introducidos por el usuario, lo que abre la puerta a ataques XSS almacenados.

Impacto potencial

El impacto potencial incluye el robo de información sensible, la manipulación de sesiones de usuario y la posible desfiguración del sitio. Esto puede llevar a una pérdida de confianza por parte de los clientes y afectar negativamente la reputación del negocio.

Vector de explotación

La explotación de esta vulnerabilidad generalmente requiere que el atacante tenga un nivel de acceso de contribuyente o superior. Una vez autenticado, el atacante puede inyectar scripts maliciosos que se ejecutarán en el navegador de otros usuarios que visiten la página afectada.

Mitigación recomendada

Se recomienda actualizar el plugin a la versión 3.1.1 o superior para mitigar esta vulnerabilidad. Además, es aconsejable implementar medidas de seguridad adicionales, como la validación de entradas y el uso de políticas de seguridad de contenido (CSP).

Señales de detección

Las señales de riesgo incluyen la aparición de comportamientos inusuales en el sitio, como redirecciones inesperadas o la ejecución de scripts no autorizados. Monitorear los registros de actividad de usuarios puede ayudar a identificar intentos de explotación.

Alcance afectado

Las versiones del plugin ShopLentor anteriores a la 3.1.1 están afectadas. Esto incluye todas las instalaciones que utilicen versiones anteriores a la mencionada.