wpDataTables – WordPress Tables & Table Charts Plugin <= 2.1.27 - Authenticated (Admin+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin wpDataTables para WordPress, que afecta a las versiones hasta la 2.1.27. Esta vulnerabilidad permite a un atacante autenticado ejecutar scripts maliciosos en el navegador de otros usuarios.

Contexto técnico

La vulnerabilidad se presenta en la funcionalidad del plugin que permite la manipulación de tablas y gráficos. Un atacante con acceso administrativo puede inyectar código JavaScript malicioso que se almacena y se ejecuta posteriormente en el contexto de otros usuarios que accedan a la misma tabla.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts arbitrarios en el navegador de otros usuarios, lo que podría llevar al robo de información sensible o a la realización de acciones no autorizadas en nombre del usuario afectado.

Vector de explotación

Generalmente, un atacante autenticado (con privilegios de administrador) aprovecha esta vulnerabilidad inyectando código malicioso a través de la interfaz del plugin, que luego se almacena y se ejecuta cuando otros usuarios acceden a las tablas afectadas.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin wpDataTables a la versión 2.1.28 o superior. Además, es aconsejable realizar una revisión de los permisos de usuario y aplicar buenas prácticas de seguridad, como la validación y sanitización de entradas.

Señales de detección

Señales que pueden indicar un intento de explotación incluyen cambios no autorizados en las tablas del plugin o la aparición de scripts no reconocidos en el código fuente de las páginas donde se muestran las tablas.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.1.28 del plugin wpDataTables. Es importante verificar las instalaciones de este plugin en los sitios de WordPress para asegurar que están actualizadas.