WPC Smart Compare for WooCommerce <= 6.4.6 - Authenticated (Contributor+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de Cross-Site Scripting (XSS) almacenado en el plugin WPC Smart Compare para WooCommerce, que afecta a las versiones hasta la 6.4.6. Esta vulnerabilidad permite a usuarios autenticados con rol de colaborador o superior inyectar scripts maliciosos.

Contexto técnico

El fallo se presenta en la forma en que el plugin maneja las entradas de los usuarios, permitiendo que se almacenen scripts no sanitizados en la base de datos. Esto puede ser explotado por usuarios con permisos adecuados, facilitando la ejecución de código en el contexto de otros usuarios al visualizar productos comparados.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad de los datos de los usuarios y afectar la integridad del sitio web. Un atacante podría robar información sensible o realizar acciones no autorizadas, lo que podría derivar en pérdidas económicas y de confianza por parte de los clientes.

Vector de explotación

Generalmente, la explotación se lleva a cabo mediante la inyección de código JavaScript a través de formularios del plugin, que luego se almacena y se ejecuta cuando otros usuarios acceden a la funcionalidad afectada.

Mitigación recomendada

Actualizar el plugin WPC Smart Compare a la versión 6.4.7 o superior. Además, se recomienda revisar las configuraciones de permisos de usuario y aplicar medidas de seguridad adicionales como la sanitización de entradas y la validación de datos.

Señales de detección

Señales de riesgo incluyen la aparición de comportamientos inusuales en la interfaz de usuario, como redirecciones inesperadas o la carga de contenido no autorizado. También se puede monitorizar el registro de actividades de usuarios autenticados para detectar intentos de inyección.

Alcance afectado

Las versiones del plugin WPC Smart Compare para WooCommerce hasta la 6.4.6 son vulnerables. Se recomienda a los administradores de sitios que utilicen este plugin verificar su versión y aplicar las actualizaciones necesarias.