Price Table <= 0.2.2 - Authenticated (Contributor+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Price Table hasta la versión 0.2.2, que permite a usuarios autenticados con rol de contribuyente o superior inyectar scripts maliciosos. Esta vulnerabilidad tiene una severidad media y un puntaje CVSS de 5.5.

Contexto técnico

El fallo se manifiesta en el manejo inadecuado de entradas en el plugin Price Table, permitiendo la inyección de código JavaScript en la interfaz de usuario. La superficie de ataque está limitada a usuarios autenticados con permisos de contribuyente o superiores, lo que implica que un atacante necesita tener acceso a la cuenta de un usuario con estos privilegios.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la integridad del sitio web, permitiendo a un atacante ejecutar scripts en el navegador de otros usuarios, lo que podría resultar en el robo de información sensible o la manipulación de la experiencia del usuario. Esto puede afectar la confianza de los usuarios y la reputación del negocio.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad al enviar contenido malicioso a través de formularios o entradas que el plugin no valida adecuadamente. Una vez que el script se almacena, cualquier usuario que acceda a la página afectada podría ejecutar el código malicioso.

Mitigación recomendada

Para mitigar el riesgo, se recomienda actualizar el plugin Price Table a la versión 0.2.2 o superior. Además, es aconsejable revisar y sanitizar todas las entradas de los usuarios y aplicar políticas de seguridad de contenido (CSP) para limitar la ejecución de scripts no autorizados.

Señales de detección

Señales de posible explotación incluyen la aparición de comportamientos inusuales en la interfaz de usuario, redirecciones inesperadas o la presencia de scripts no autorizados en el código fuente de las páginas.

Alcance afectado

Las versiones del plugin Price Table anteriores a la 0.2.2 están afectadas. Esto incluye todas las instalaciones que no han sido actualizadas desde la publicación de la vulnerabilidad el 27 de enero de 2022.