Fuente base de datos: Wordfence Intelligence

Freemius <= 2.10.1 - Reflected DOM-Based Cross-Site Scripting via url Parameter en WOO Conditional Payment Gateways (Cross-Site Scripting (XSS)) - version 1.16.4

PLUGIN MEDIUM CVE-2024-13362

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha detectado una vulnerabilidad de tipo XSS en el plugin Woo Conditional Payment Gateways, que permite la ejecución de scripts maliciosos a través de parámetros de URL. Esta falla puede comprometer la seguridad de los usuarios y la integridad de la información en el sitio web.

Contexto técnico

La vulnerabilidad se manifiesta como un Cross-Site Scripting reflejado, donde los atacantes pueden inyectar scripts en la página a través de parámetros de URL manipulados. El componente afectado es el plugin Freemius en versiones hasta 2.10.1, lo que lo convierte en un vector de ataque crítico si no se gestiona adecuadamente.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar código en el contexto del navegador de un usuario, lo que podría resultar en el robo de datos sensibles o en la redirección a sitios maliciosos. Esto podría dañar la reputación del negocio y afectar la confianza de los usuarios.

Vector de explotación

La explotación se realiza mediante la manipulación de parámetros en la URL, lo que permite que un atacante envíe un enlace malicioso a un usuario desprevenido, quien al hacer clic en él activa el script malicioso.

Mitigación recomendada

Actualizar el plugin Woo Conditional Payment Gateways a la versión 1.16.4 o superior para corregir la vulnerabilidad. Revisar y sanitizar todos los parámetros de entrada en las URL para prevenir inyecciones de scripts. Implementar políticas de seguridad de contenido (CSP) para mitigar el riesgo de ejecución de scripts no autorizados.

Señales de detección

Revisar los registros de acceso en busca de patrones inusuales en los parámetros de URL y monitorizar las solicitudes que contengan caracteres sospechosos o scripts.

Alcance afectado

Las versiones del plugin Freemius hasta 2.10.1 están afectadas. No se han confirmado otros escenarios o versiones que puedan estar en riesgo.

Vulnerabilidades relacionadas

HIGH PLUGIN

wp-auto-affiliate-links

Auto Affiliate Links <= 6.8.8 - Unauthenticated Stored Cross-Site Scripting via 'url' Parameter

MEDIUM PLUGIN

e2pdf

E2Pdf – Export Pdf Tool for WordPress <= 1.32.17 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'id' Shortcode Attribute

MEDIUM PLUGIN

sky-elementor-addons

Sky Addons <= 3.3.2 - Authenticated (Author+) Stored Cross-Site Scripting via Custom Script

MEDIUM PLUGIN

nmr-strava-activities

NMR Strava activities <= 1.0.14 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode Attributes

MEDIUM PLUGIN

slicewp

Affiliate Program Suite <= 1.2.7 - Authenticated (Contributor+) Stored Cross-Site Scripting via slicewp_affiliate_url Shortcode

HIGH PLUGIN

latepoint

LatePoint <= 5.5.0 - Unauthenticated Stored Cross-Site Scripting via 'first_name' Parameter

MEDIUM PLUGIN

latepoint

LatePoint <= 5.5.0 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Customer Cabinet Profile Update

HIGH PLUGIN

latepoint

LatePoint <= 5.5.0 - Unauthenticated Stored Cross-Site Scripting via 'booking_form_page_url' Parameter

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto