Qué es y cómo funciona la falla
El plugin WooCommerce Vindi Pagamento para WordPress, en versiones hasta la 0.8.3, contiene dos vulnerabilidades críticas. Primero, no realiza ninguna verificación de autorización cuando se actualiza el código de seguimiento de envío de un pedido. Segundo, no escapa ni sanitiza ese código antes de mostrarlo en la página de edición del pedido. Esto permite a atacantes no autenticados inyectar y almacenar código JavaScript malicioso (Stored Cross-Site Scripting), que luego se ejecuta en los navegadores de los administradores o gestores de la tienda cuando visualizan un pedido pagado a través de esta pasarela.
Es importante destacar que el payload almacenado solo se renderiza en sitios que utilizan el sistema de almacenamiento de pedidos heredado de WooCommerce (basado en posts de WordPress).
Productos y versiones afectadas
- Plugin: WooCommerce Vindi Pagamento para WordPress
- Versiones afectadas: Hasta la versión 0.8.3 inclusive.
Impacto real y probabilidad de explotación
El impacto principal es que un atacante remoto y no autenticado podría comprometer las sesiones de usuarios con altos privilegios (administradores y gestores), lo que podría llevar a un compromiso total del sitio web. Según datos de Shodan, actualmente hay 0 hosts indexados en internet con esta vulnerabilidad detectada, lo que sugiere un volumen bajo de objetivos expuestos directamente. La autoridad española INCIBE-CERT ha clasificado la severidad de esta vulnerabilidad como P (Prioritaria).
| CVE | CVE-2026-123124 |
|---|---|
| Severidad | HIGH |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).