Add Subtitle <= 1.1.0 - Authenticated (Contributor+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Add Subtitle en versiones hasta 1.1.0, que permite a usuarios autenticados con rol de colaborador o superior inyectar scripts maliciosos. Esta vulnerabilidad tiene una severidad alta, con un CVSS de 7.4.

Contexto técnico

La vulnerabilidad se origina en la falta de validación y sanitización adecuada de los datos introducidos por el usuario. Esto permite que un atacante autenticado pueda almacenar scripts maliciosos que se ejecutan en el navegador de otros usuarios cuando visualizan el contenido afectado.

Impacto potencial

El impacto potencial incluye la posibilidad de que un atacante robe información sensible, como cookies de sesión, o realice acciones no autorizadas en nombre de otros usuarios, lo que puede comprometer la integridad y la confianza en el sitio web.

Vector de explotación

La explotación de esta vulnerabilidad generalmente implica que un atacante autenticado inserte un script malicioso a través de la funcionalidad del plugin, que luego se ejecuta cuando otros usuarios acceden a la página afectada.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Add Subtitle a la versión 1.1.0 o superior. Además, se deben revisar las configuraciones de seguridad del sitio y considerar la implementación de medidas adicionales de sanitización de entrada.

Señales de detección

Señales de riesgo incluyen la aparición de comportamientos inusuales en el sitio, como redirecciones no autorizadas o la visualización de contenido extraño en las páginas, así como reportes de usuarios sobre comportamientos anómalos.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin Add Subtitle anteriores a la 1.1.0. Se recomienda a los administradores de WordPress que verifiquen si están utilizando una versión vulnerable.