WPBakery Page Builder for WordPress (formerly Visual Composer) <= 4.7.3 - Multiple Cross-Site Scripting Issues

Resumen ejecutivo

Se han identificado múltiples vulnerabilidades de Cross-Site Scripting (XSS) en el plugin WPBakery Page Builder para WordPress, afectando a versiones hasta la 4.7.3. Estas vulnerabilidades tienen una severidad alta, con un CVSS de 7.2.

Contexto técnico

Las vulnerabilidades de XSS permiten a un atacante inyectar scripts maliciosos en páginas web, lo que puede llevar a la ejecución de código no autorizado en el navegador de los usuarios. La superficie de ataque se presenta a través de entradas no validadas en el plugin, lo que facilita la explotación.

Impacto potencial

El impacto potencial incluye la posibilidad de robo de información sensible de los usuarios, redirección a sitios maliciosos y compromisos de cuentas. Esto puede afectar la reputación del negocio y la confianza de los usuarios en la plataforma.

Vector de explotación

Los atacantes suelen explotar estas vulnerabilidades inyectando scripts a través de formularios o parámetros de URL manipulados, que son procesados sin la debida sanitización.

Mitigación recomendada

Se recomienda actualizar el plugin WPBakery Page Builder a la versión 4.7.4 o superior. Además, aplicar medidas de seguridad adicionales como la validación de entradas y el uso de Content Security Policy (CSP).

Señales de detección

Señales de riesgo incluyen la aparición de comportamientos inusuales en el sitio, como redirecciones inesperadas o la ejecución de scripts en el navegador del usuario. Monitorear logs de acceso puede ayudar a identificar intentos de explotación.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 4.7.4 del plugin WPBakery Page Builder.