Additional Custom Emails &amp; Recipients for WooCommerce <= 3.5.1 - Authenticated (Contributor+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin 'Additional Custom Emails & Recipients for WooCommerce' en versiones hasta la 3.5.1. Esta falla permite a usuarios autenticados con rol de colaborador o superior inyectar scripts maliciosos.

Contexto técnico

La vulnerabilidad se manifiesta a través de la inadecuada validación de entradas en el plugin, lo que permite que un atacante que tenga acceso a una cuenta de colaborador o superior inserte código JavaScript malicioso en los correos electrónicos enviados, afectando así a los destinatarios de dichos correos.

Impacto potencial

El impacto potencial incluye la posibilidad de que los atacantes roben información sensible de los usuarios o realicen acciones no autorizadas en nombre de los mismos. Esto puede comprometer la integridad de la tienda online y afectar la confianza de los clientes.

Vector de explotación

La explotación de esta vulnerabilidad generalmente se realiza mediante la creación de un correo electrónico que contenga el código malicioso, el cual se envía a los usuarios tras ser procesado por el plugin, ejecutándose en sus navegadores cuando abren el correo.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 3.5.2 o superior. Además, se debe revisar y restringir los permisos de los usuarios, asegurando que solo los roles necesarios tengan acceso a funciones críticas del plugin.

Señales de detección

Señales de riesgo incluyen la aparición de correos electrónicos no autorizados o inusuales enviados desde la tienda, así como reportes de comportamientos extraños en la interacción de los usuarios con la tienda online.

Alcance afectado

Las versiones del plugin 'Additional Custom Emails & Recipients for WooCommerce' hasta la 3.5.1 están afectadas. Es crucial verificar las instalaciones que utilizan este plugin.