WSMS (formerly WP SMS) – SMS & MMS Notifications with OTP and 2FA for WooCommerce <= 7.1 - Authenticated (Administrator+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin WSMS (anteriormente WP SMS) para WooCommerce, que afecta a versiones hasta la 7.1. Esta vulnerabilidad permite la ejecución de scripts maliciosos si un administrador autenticado es engañado para interactuar con contenido comprometido.

Contexto técnico

El fallo se produce debido a una falta de validación adecuada de los datos introducidos por los usuarios, lo que permite la inyección de scripts maliciosos en la interfaz de usuario. La superficie de ataque se centra en las acciones realizadas por administradores autenticados, quienes pueden ser blanco de ataques mediante la explotación de esta vulnerabilidad.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la integridad del sitio web, permitiendo a un atacante ejecutar scripts en el contexto del navegador de la víctima. Esto podría resultar en el robo de información sensible, manipulación de datos y un daño significativo a la reputación del negocio.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando enlaces maliciosos a administradores, incitándolos a interactuar con contenido que desencadene la ejecución de scripts inyectados.

Mitigación recomendada

Se recomienda actualizar el plugin WSMS a la versión 7.1.1 o superior para mitigar esta vulnerabilidad. Además, se deben implementar medidas de seguridad adicionales, como la validación de entradas y el uso de políticas de seguridad de contenido (CSP).

Señales de detección

Señales de posible explotación incluyen la aparición de comportamientos inusuales en el panel de administración, como redirecciones no autorizadas o la inyección de contenido extraño en las páginas administradas por el plugin.

Alcance afectado

Las versiones del plugin WSMS hasta la 7.1 son susceptibles a esta vulnerabilidad. Es crucial que todas las instalaciones que utilicen este plugin sean revisadas y actualizadas.