Shipment Tracker for Woocommerce <= 1.5.3.2 - Authenticated (Subscriber+) Stored Cross-Site Scripting (Cross-Site Scripting (XSS)) - version 1.5.3.3

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Shipment Tracker para WooCommerce, afectando a versiones hasta la 1.5.3.2. Esta falla permite que usuarios autenticados con rol de suscriptor o superior inyecten scripts maliciosos, lo que puede comprometer la seguridad del sitio.

Contexto técnico

El fallo se presenta en el manejo de entradas de usuario en el plugin Shipment Tracker, lo que permite que un atacante autenticado envíe un código JavaScript malicioso que se ejecuta en el navegador de otros usuarios. La superficie de ataque se centra en las funciones que procesan los datos del usuario sin la debida sanitización.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en el robo de información sensible y la manipulación de sesiones de usuario, lo que afecta la confianza de los clientes y puede llevar a pérdidas económicas significativas. La severidad se clasifica como media, con un CVSS de 6.4.

Vector de explotación

Generalmente, el ataque se lleva a cabo mediante la inyección de scripts en formularios o campos de entrada accesibles a usuarios autenticados, que luego son visualizados por otros usuarios sin la debida validación.

Mitigación recomendada

Actualizar el plugin Shipment Tracker para WooCommerce a la versión 1.5.3.3 o superior. Revisar y sanitizar todas las entradas de usuario en el plugin para prevenir inyecciones de código. Implementar un WAF (Web Application Firewall) para filtrar solicitudes maliciosas.

Señales de detección

Revisar los logs de acceso en busca de patrones inusuales en las solicitudes de usuarios autenticados, así como la presencia de scripts no autorizados en las respuestas del servidor.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.5.3.3 del plugin Shipment Tracker para WooCommerce. No se han confirmado otros escenarios de afectación.