YITH WooCommerce Quick View <= 2.7.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via yith_quick_view Shortcode

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin YITH WooCommerce Quick View, que afecta a las versiones hasta la 2.7.0. Este fallo permite a usuarios autenticados con rol de contribuidor o superior inyectar scripts maliciosos.

Contexto técnico

La vulnerabilidad se origina en el shortcode 'yith_quick_view', que no valida adecuadamente la entrada del usuario. Esto permite que se almacenen scripts maliciosos en el servidor, los cuales pueden ser ejecutados en el navegador de otros usuarios que visualicen el contenido afectado.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad de los usuarios del sitio, permitiendo a un atacante robar información sensible o realizar acciones no autorizadas en nombre de otros usuarios. Esto puede afectar la confianza de los clientes y, por ende, la reputación del negocio.

Vector de explotación

Un atacante podría utilizar un usuario autenticado con permisos de contribuidor para insertar un script malicioso a través del shortcode afectado. Este script se ejecutaría cuando otros usuarios accedan a la vista rápida del producto, facilitando el robo de cookies o la manipulación de sesiones.

Mitigación recomendada

Actualizar el plugin YITH WooCommerce Quick View a la versión 2.7.1 o superior. Además, se recomienda revisar las configuraciones de seguridad del sitio y aplicar medidas de validación de entradas para mitigar riesgos futuros.

Señales de detección

Señales de posible explotación incluyen la aparición de comportamientos inusuales en la interacción de usuarios con el plugin, así como la detección de scripts no autorizados en las páginas de vista rápida de productos.

Alcance afectado

Las versiones del plugin YITH WooCommerce Quick View hasta la 2.7.0 son vulnerables. Se recomienda a los administradores de sitios que utilicen este plugin que verifiquen su versión y apliquen la actualización correspondiente.