Sales Count Manager for WooCommerce <= 2.5 - Authenticated (Administrator+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Sales Count Manager para WooCommerce, que afecta a versiones hasta la 2.5. Esta vulnerabilidad permite a un atacante autenticado inyectar scripts maliciosos en el entorno del administrador.

Contexto técnico

El fallo se origina en la forma en que el plugin maneja las entradas de los usuarios, permitiendo que se almacenen scripts no sanitizados. Esto expone a los administradores a ataques XSS, que pueden comprometer la integridad del sitio web y la información sensible.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que un atacante con privilegios de administrador podría ejecutar código malicioso, lo que podría llevar a la manipulación de datos, robo de información o incluso tomar el control total del sitio.

Vector de explotación

La explotación generalmente requiere que el atacante tenga acceso como administrador, lo que limita el riesgo a usuarios autenticados. Sin embargo, una vez dentro, puede inyectar scripts que afecten a otros usuarios o a la administración del sitio.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 2.5 o superior. Además, es aconsejable revisar las configuraciones de seguridad y aplicar medidas de hardening, como la validación de entradas y la sanitización de datos.

Señales de detección

Las señales de posible explotación incluyen la aparición de scripts no autorizados en las páginas de administración, así como comportamientos inusuales en la interacción de los usuarios con el panel de control del sitio.

Alcance afectado

Las versiones del plugin Sales Count Manager para WooCommerce hasta la 2.5 son las afectadas. Las instalaciones que no han actualizado a esta versión o superior están en riesgo.