Locatoraid Store Locator <= 3.9.65 - Authenticated (Administrator+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo XSS almacenado en el plugin Locatoraid Store Locator, afectando a versiones hasta la 3.9.65. La gravedad de esta vulnerabilidad se clasifica como media, con un CVSS de 4.4.

Contexto técnico

El fallo permite a un atacante autenticado con privilegios de administrador inyectar scripts maliciosos que se almacenan y ejecutan en el navegador de otros usuarios. Esto ocurre en la interfaz de administración del plugin, donde se gestionan las ubicaciones almacenadas.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad de los datos de los usuarios y permitir ataques de phishing o robo de información. Además, puede dañar la reputación de la empresa y afectar la confianza de los clientes.

Vector de explotación

Generalmente, el ataque se lleva a cabo mediante la inyección de código JavaScript en campos de entrada del plugin, que luego se almacenan y se ejecutan cuando otros administradores o usuarios acceden a la interfaz afectada.

Mitigación recomendada

Actualizar el plugin Locatoraid Store Locator a la versión 3.9.65 o superior. Además, se recomienda implementar medidas de seguridad como la validación de entradas y la sanitización de datos en todas las áreas donde se permiten entradas de usuario.

Señales de detección

Señales de alerta incluyen la presencia de scripts no autorizados en la interfaz de administración del plugin y reportes de comportamientos extraños por parte de usuarios que acceden a la misma.

Alcance afectado

Las versiones del plugin Locatoraid Store Locator hasta la 3.9.65 están afectadas. Cualquier instalación que utilice estas versiones es vulnerable.