WP Code Highlight.js <= 0.6.2 - Cross-Site Request Forgery to Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin WP Code Highlight.js, que permite la explotación de un ataque de Cross-Site Request Forgery (CSRF) que puede derivar en Cross-Site Scripting (XSS). Esta vulnerabilidad afecta a la versión 0.6.2 y anteriores, con una puntuación CVSS de 8.8.

Contexto técnico

La vulnerabilidad se origina en la falta de validación adecuada de las solicitudes, lo que permite a un atacante enviar peticiones maliciosas que pueden ejecutar scripts no autorizados en el contexto del usuario víctima. Esto afecta a la superficie de ataque donde se procesan las solicitudes del plugin sin la debida verificación.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad del sitio web, permitiendo a un atacante ejecutar scripts en el navegador de los usuarios, lo que podría resultar en el robo de información sensible, manipulación de contenido o redirección a sitios maliciosos. Esto puede afectar la confianza del usuario y la reputación del negocio.

Vector de explotación

Generalmente, los atacantes pueden explotar esta vulnerabilidad mediante la creación de enlaces maliciosos o formularios que, al ser visitados o enviados por un usuario autenticado, desencadenan la ejecución del script malicioso sin su consentimiento.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin WP Code Highlight.js a la versión 0.6.3 o superior. Además, se sugiere implementar medidas de seguridad adicionales, como la validación de tokens CSRF y la revisión de los permisos de acceso a las funciones críticas del plugin.

Señales de detección

Las señales que pueden indicar un riesgo incluyen la aparición de comportamientos inusuales en la administración del sitio, como cambios no autorizados en el contenido o la presencia de scripts extraños en las páginas generadas por el plugin.

Alcance afectado

Las versiones afectadas son WP Code Highlight.js hasta la 0.6.2. Cualquier instalación que utilice estas versiones está en riesgo hasta que se aplique la actualización recomendada.