Cost Calculator <= 7.4 - Authenticated (Subscriber+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Cost Calculator, que afecta a las versiones hasta la 7.4. Esta vulnerabilidad puede ser explotada por usuarios autenticados con rol de suscriptor o superior.

Contexto técnico

El fallo se presenta en la funcionalidad del plugin que permite almacenar datos introducidos por los usuarios. Esto permite que un atacante inyecte scripts maliciosos que se ejecuten en el contexto de otros usuarios que visualicen la información afectada.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad de los usuarios, permitiendo a un atacante robar información sensible o realizar acciones no autorizadas en la sesión de otros usuarios. Esto podría resultar en pérdidas de confianza y reputación para el negocio.

Vector de explotación

Generalmente, la explotación se realiza mediante la inyección de código JavaScript en los campos de entrada del plugin, que luego se almacena y se ejecuta cuando otros usuarios acceden a la información afectada.

Mitigación recomendada

Actualizar el plugin Cost Calculator a la versión 7.5 o superior. Además, se recomienda revisar los permisos de los usuarios y aplicar medidas de sanitización en los datos introducidos por los usuarios.

Señales de detección

Señales de riesgo incluyen la aparición de comportamientos sospechosos en la interfaz de usuario, como redirecciones inesperadas o la ejecución de scripts no autorizados en el navegador de los usuarios.

Alcance afectado

Las versiones del plugin Cost Calculator desde la 7.4 y anteriores son vulnerables. Las instalaciones que no han actualizado a la versión 7.5 están en riesgo.