Quiz And Survey Master <= 7.3.1 - Admin+ Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Quiz And Survey Master, afectando a versiones hasta la 7.3.1. Esta vulnerabilidad puede permitir a un atacante ejecutar scripts maliciosos en el contexto del navegador de un usuario.

Contexto técnico

La vulnerabilidad se presenta en la gestión de datos en el backend del plugin, permitiendo que se almacenen scripts maliciosos que se ejecutan cuando un administrador accede a ciertas páginas del plugin. Esto representa una superficie de ataque que puede ser aprovechada por usuarios no autorizados para inyectar código JavaScript.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite la ejecución de scripts en el navegador de los administradores, lo que podría llevar al robo de credenciales, manipulación de datos o redirección a sitios maliciosos. A nivel de negocio, esto puede afectar la confianza de los usuarios y la integridad del sitio web.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando datos manipulados que se almacenan en el sistema. Cuando un administrador visita la sección afectada del plugin, los scripts maliciosos se ejecutan, lo que puede llevar a comprometer la sesión del administrador.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Quiz And Survey Master a la versión 7.3.2 o superior. Además, se sugiere revisar los permisos de usuario y aplicar medidas de hardening en la configuración de WordPress para limitar el acceso a funciones críticas.

Señales de detección

Señales de posible explotación incluyen cambios no autorizados en el contenido del plugin, comportamientos inusuales en las sesiones de administrador o alertas de seguridad relacionadas con la ejecución de scripts en el navegador.

Alcance afectado

Las versiones del plugin Quiz And Survey Master hasta la 7.3.1 están afectadas. La versión 7.3.2 y posteriores contienen la corrección para esta vulnerabilidad.