Fuente base de datos: Wordfence Intelligence

WooCommerce Placetopay Gateway <= 3.2.2 - Reflected Cross-Site Scripting via 'redirect-url' en Woocommerce Gateway Placetopay Uruguay (Cross-Site Scripting (XSS))

PLUGIN MEDIUM CVE-2026-11324

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin WooCommerce Placetopay Gateway hasta la versión 3.2.2. Esta falla puede ser explotada a través del parámetro 'redirect-url', lo que compromete la seguridad de los usuarios y la integridad del sitio.

Contexto técnico

La vulnerabilidad se presenta en el plugin WooCommerce Placetopay Gateway, específicamente en el manejo del parámetro 'redirect-url'. Un atacante puede inyectar scripts maliciosos que se ejecutan en el contexto del navegador de la víctima, afectando la experiencia del usuario y permitiendo el robo de información sensible.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar código arbitrario en el navegador de los usuarios. Esto podría resultar en el robo de credenciales, datos personales o la manipulación de sesiones, afectando la confianza del cliente y la reputación del negocio.

Vector de explotación

La explotación de esta vulnerabilidad se realiza mediante la manipulación de la URL de redirección, donde se inyecta código JavaScript malicioso que se ejecuta al ser visitada por un usuario desprevenido.

Mitigación recomendada

Actualizar el plugin WooCommerce Placetopay Gateway a la versión 3.2.2 o superior para corregir la vulnerabilidad. Revisar y sanitizar todos los parámetros de entrada en las URLs para prevenir inyecciones de código. Implementar medidas de seguridad adicionales como Content Security Policy (CSP) para mitigar el riesgo de XSS.

Señales de detección

Señales de alerta incluyen registros de solicitudes HTTP que contienen parámetros inusuales en 'redirect-url' o intentos de inyección de scripts en los logs del servidor.

Alcance afectado

Las versiones hasta 3.2.2 del plugin WooCommerce Placetopay Gateway están afectadas. No se han confirmado casos de explotación en versiones posteriores.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

smart-custom-fields

Smart Custom Fields <= 5.0.7 - Authenticated (Author+) Stored Cross-Site Scripting via Attachment Title

MEDIUM PLUGIN

woocommerce-gateway-placetopay-honduras