Accessibility <= 1.0.2 - Authenticated (Administrator+) Stored Cross-Site Scritping

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) almacenado en el plugin Accessibility hasta la versión 1.0.2, que afecta a usuarios autenticados con privilegios de administrador. Esta vulnerabilidad tiene una severidad media, con un CVSS de 5.5.

Contexto técnico

El fallo se produce debido a una falta de validación y sanitización de los datos introducidos por el usuario, lo que permite que un atacante inyecte scripts maliciosos que se almacenan y se ejecutan en el navegador de otros usuarios autenticados.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad del sitio, permitiendo a un atacante ejecutar scripts en el contexto de otros usuarios con privilegios de administrador, lo que podría resultar en la manipulación de datos o el robo de información sensible.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad mediante la inyección de código JavaScript malicioso en campos de entrada que no están debidamente protegidos, que luego es ejecutado por otros usuarios cuando visualizan la página afectada.

Mitigación recomendada

Actualizar el plugin Accessibility a la versión 1.0.3 o superior para corregir la vulnerabilidad. Además, se recomienda revisar las configuraciones de seguridad y aplicar medidas de sanitización de entrada en otros plugins y temas.

Señales de detección

Señales de posible explotación incluyen comportamientos inusuales en el panel de administración, como redirecciones inesperadas o la aparición de contenido no autorizado en las páginas del sitio.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin Accessibility hasta la 1.0.2. La versión 1.0.3 y posteriores no están afectadas.