MOLIE – Instructure Canvas Linking tool <= 0.5 - Reflected Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin MOLIE – Instructure Canvas Linking tool, afectando a versiones anteriores o iguales a 0.5. Esta vulnerabilidad puede ser aprovechada para inyectar scripts maliciosos en el navegador de los usuarios afectados.

Contexto técnico

El fallo se origina en la falta de validación adecuada de las entradas del usuario, permitiendo que un atacante pueda inyectar código JavaScript malicioso. La superficie de ataque se centra en las interacciones que los usuarios tienen con el plugin, donde se pueden enviar datos no sanitizados.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el contexto del navegador del usuario, lo que podría llevar al robo de información sensible o a la manipulación de la sesión del usuario. Esto puede comprometer la integridad de los datos y la confianza de los usuarios en la plataforma.

Vector de explotación

Generalmente, la explotación se realiza mediante la creación de enlaces maliciosos que, al ser clicados por un usuario, ejecutan el código inyectado. Esto puede ocurrir en formularios o campos de entrada donde no se aplican las debidas medidas de seguridad.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 0.5 o superior. Además, se debe implementar una validación y sanitización adecuada de todas las entradas del usuario, así como utilizar cabeceras de seguridad como Content Security Policy (CSP).

Señales de detección

Señales de riesgo incluyen la presencia de comportamientos inusuales en la interacción del usuario con el sitio, así como la detección de scripts no autorizados en el código fuente de las páginas web generadas por el plugin.

Alcance afectado

Las versiones del plugin MOLIE – Instructure Canvas Linking tool hasta la 0.5 son susceptibles a esta vulnerabilidad. Las instalaciones que utilicen versiones anteriores a esta deben ser consideradas en riesgo.