Google Fonts Typography <= 3.0.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via blockType arguments en Olympus Google Fonts (Cross-Site Scripting (XSS)) - version 3.0.3

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Google Fonts Typography en versiones hasta la 3.0.2. Esta vulnerabilidad permite a usuarios autenticados con rol de colaborador o superior inyectar scripts maliciosos.

Contexto técnico

El fallo se encuentra en el manejo de los argumentos 'blockType', que no sanitizan adecuadamente la entrada del usuario. Esto permite la inyección de código JavaScript malicioso en el contenido del sitio, afectando la seguridad de los usuarios que visitan la página.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la integridad del sitio web, permitiendo a un atacante ejecutar scripts en el navegador de otros usuarios. Esto puede resultar en robo de información sensible, redirecciones no deseadas o la modificación del contenido visible para los usuarios.

Vector de explotación

Generalmente, un atacante autenticado puede enviar un payload malicioso a través de los argumentos 'blockType', que luego se almacena y se ejecuta cuando otros usuarios cargan el contenido afectado.

Mitigación recomendada

Actualizar el plugin Google Fonts Typography a la versión 3.0.3 o superior, donde se ha corregido esta vulnerabilidad. Además, se recomienda revisar y sanitizar adecuadamente todas las entradas de usuario en el sitio.

Señales de detección

Señales de riesgo incluyen la presencia de scripts no autorizados en el contenido del sitio o en las respuestas del servidor. Monitorizar logs de actividad de usuarios para detectar comportamientos sospechosos puede ser útil.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 3.0.3 del plugin Google Fonts Typography. Se recomienda a los administradores de sitios que utilicen este plugin que verifiquen su versión actual.