WP Server Health Stats <= 1.6.10 - Authenticated (Administrator+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin WP Server Health Stats, que afecta a las versiones hasta la 1.6.10. Este fallo permite a un administrador autenticado inyectar scripts maliciosos en el sistema.

Contexto técnico

La vulnerabilidad se presenta en la gestión de datos que se almacenan y se muestran en el plugin. Esto permite a un atacante que tenga acceso como administrador inyectar código JavaScript que se ejecutará en el contexto de otros usuarios que visualicen la información comprometida.

Impacto potencial

El impacto potencial de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el navegador de otros usuarios, lo que podría llevar al robo de información sensible o a la manipulación de la sesión del usuario afectado.

Vector de explotación

Generalmente, la explotación se lleva a cabo mediante la inyección de código malicioso en campos de entrada que no están debidamente sanitizados, lo que permite que el script se ejecute cuando otros usuarios acceden a las páginas afectadas.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin WP Server Health Stats a la versión 1.7.0 o superior. Además, es aconsejable revisar y sanitizar adecuadamente todas las entradas de usuario en el sistema.

Señales de detección

Señales de posible explotación incluyen la aparición de comportamientos extraños en el navegador de los usuarios, como redirecciones inesperadas o la ejecución de scripts no autorizados.

Alcance afectado

Las versiones del plugin WP Server Health Stats hasta la 1.6.10 están afectadas por esta vulnerabilidad, por lo que todas las instalaciones que utilicen estas versiones son susceptibles al ataque.