Fuente base de datos: Wordfence Intelligence

WooCommerce Placetopay Gateway <= 3.2.2 - Reflected Cross-Site Scripting via 'redirect-url' en Woocommerce Gateway Placetopay Ecuador (Cross-Site Scripting (XSS))

PLUGIN MEDIUM CVE-2026-11324

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin WooCommerce Placetopay Gateway, afectando a versiones anteriores a 3.2.2. Esta falla puede ser explotada a través del parámetro 'redirect-url', comprometiendo la seguridad de los usuarios y la integridad del sitio web.

Contexto técnico

La vulnerabilidad se presenta en el componente del plugin WooCommerce Placetopay Gateway, donde un atacante puede inyectar scripts maliciosos a través de la URL de redirección. Esto ocurre en el contexto de solicitudes HTTP, lo que permite que el código malicioso se ejecute en el navegador de la víctima.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el navegador de los usuarios, lo que podría llevar al robo de información sensible o a la manipulación de sesiones. Esto afecta la confianza del cliente y puede resultar en pérdidas económicas y reputacionales para el negocio.

Vector de explotación

La explotación normalmente se realiza mediante la manipulación de la URL de redirección en las solicitudes al plugin, lo que permite al atacante inyectar código JavaScript malicioso que se ejecuta en el navegador del usuario.

Mitigación recomendada

Actualizar el plugin WooCommerce Placetopay Gateway a la versión 3.2.2 o superior. Revisar y sanitizar adecuadamente todos los parámetros de entrada, especialmente 'redirect-url'. Implementar políticas de seguridad de contenido (CSP) para mitigar la ejecución de scripts no autorizados.

Señales de detección

Señales a observar incluyen entradas inusuales en los logs de acceso, como solicitudes que contienen parámetros de redirección no válidos o scripts sospechosos en las URLs.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 3.2.2. No se han confirmado casos de explotación en versiones posteriores a esta.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

smart-custom-fields

Smart Custom Fields <= 5.0.7 - Authenticated (Author+) Stored Cross-Site Scripting via Attachment Title

MEDIUM PLUGIN

woocommerce-gateway-placetopay-honduras