Customer Reviews for WooCommerce <= 5.93.1 - Authenticated (Subscriber+) Stored Cross-Site Scripting via displayName Parameter

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin 'Customer Reviews for WooCommerce' en versiones hasta la 5.93.1. Este fallo permite a usuarios autenticados con rol de suscriptor o superior inyectar scripts maliciosos a través del parámetro displayName.

Contexto técnico

La vulnerabilidad se origina en la falta de sanitización adecuada del parámetro displayName, lo que permite la ejecución de scripts arbitrarios en el navegador de otros usuarios. Esto afecta a la superficie de ataque al permitir que cualquier usuario autenticado con permisos suficientes pueda inyectar código malicioso.

Impacto potencial

El impacto potencial de esta vulnerabilidad es medio, ya que puede comprometer la integridad de la sesión de otros usuarios y permitir el robo de información sensible o la manipulación de la interfaz de usuario. Esto podría afectar la confianza de los clientes y la reputación del negocio.

Vector de explotación

Los atacantes suelen explotar este fallo enviando un nombre de visualización que contenga código JavaScript malicioso, que se ejecuta cuando otros usuarios visualizan la reseña asociada.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin a la versión 5.94.0 o superior, donde se ha corregido la vulnerabilidad. Además, se deben revisar las configuraciones de permisos de los usuarios para limitar el acceso a funciones críticas.

Señales de detección

Señales de posible explotación incluyen la aparición de scripts inusuales en el contenido de las reseñas o la actividad sospechosa de usuarios autenticados que intentan modificar el nombre de visualización.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 5.94.0 del plugin 'Customer Reviews for WooCommerce'.