Advanced Custom Fields <= 5.7.7 - Author+ Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Advanced Custom Fields, hasta la versión 5.7.7. Esta vulnerabilidad puede permitir a un atacante inyectar scripts maliciosos en el sitio afectado.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin gestiona y muestra los datos de entrada del usuario. Al no sanitizar adecuadamente estos datos, se abre la puerta a la inyección de código JavaScript que puede ejecutarse en el navegador de otros usuarios.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el contexto de la sesión de otros usuarios, lo que podría llevar al robo de información sensible o a la manipulación del contenido del sitio.

Vector de explotación

Generalmente, un atacante podría explotar esta vulnerabilidad al enviar un enlace malicioso a un usuario, que al hacer clic en él, ejecutaría el script inyectado en su navegador.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Advanced Custom Fields a la versión 5.7.8 o posterior. Además, se debe revisar y reforzar la sanitización de los datos de entrada en cualquier formulario relacionado con el plugin.

Señales de detección

Señales de posible explotación incluyen la aparición de scripts no autorizados en el contenido de las páginas o en las respuestas del servidor, así como un aumento inusual en las solicitudes que contienen parámetros sospechosos.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin Advanced Custom Fields hasta la 5.7.7. Las versiones posteriores no están afectadas.