Funnel Builder by CartFlows <= 1.6.12 - Authenticated Stored Cross-Site scripting via FB Pixel ID and Google Analytics ID

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Funnel Builder by CartFlows, que afecta a las versiones anteriores a la 1.6.13. Esta vulnerabilidad permite la inyección de scripts maliciosos a través de los identificadores de Facebook Pixel y Google Analytics.

Contexto técnico

La vulnerabilidad se presenta como un XSS almacenado autenticado, lo que significa que un atacante puede inyectar código JavaScript en el sistema que se ejecutará en el navegador de otros usuarios autenticados. Esto se puede lograr manipulando los campos de entrada que aceptan los identificadores de Facebook Pixel y Google Analytics.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el contexto de la sesión de un usuario autenticado, lo que podría llevar al robo de información sensible, manipulación de datos o redireccionamientos a sitios maliciosos.

Vector de explotación

La explotación de esta vulnerabilidad generalmente implica que un atacante autenticado envíe un payload malicioso a través de los campos de configuración del plugin, que luego se almacena y se ejecuta en el navegador de otros usuarios que acceden a la misma configuración.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Funnel Builder by CartFlows a la versión 1.6.13 o superior. Además, se sugiere revisar las configuraciones actuales y eliminar cualquier código sospechoso en los campos de Facebook Pixel y Google Analytics.

Señales de detección

Señales de riesgo incluyen la aparición de comportamientos inusuales en la interfaz de usuario del plugin, así como reportes de actividad sospechosa en los registros de acceso y errores de JavaScript en la consola del navegador.

Alcance afectado

Las versiones del plugin Funnel Builder by CartFlows hasta la 1.6.12 son las afectadas. Los sitios que utilizan estas versiones corren el riesgo de ser vulnerados.