GiveWP <= 2.23.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin GiveWP, que afecta a las versiones hasta la 2.23.2. Esta vulnerabilidad permite a usuarios autenticados con rol de colaborador o superior inyectar scripts maliciosos a través de shortcodes.

Contexto técnico

El fallo se origina en la forma en que GiveWP maneja los shortcodes, permitiendo que los usuarios con privilegios adecuados inserten código JavaScript que puede ser ejecutado en el navegador de otros usuarios. Esto representa una superficie de ataque significativa, especialmente en entornos donde se permite la colaboración.

Impacto potencial

La explotación de esta vulnerabilidad podría comprometer la seguridad de los usuarios y la integridad del sitio web, permitiendo a un atacante robar información sensible, realizar acciones no autorizadas en nombre de otros usuarios o distribuir malware.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad creando contenido a través de shortcodes que contenga scripts maliciosos, lo que se ejecutará en el contexto de otros usuarios que visualicen dicho contenido.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin GiveWP a la versión 2.24 o superior. Además, se sugiere revisar los permisos de usuario y limitar el acceso a los shortcodes a roles de usuario de confianza.

Señales de detección

Se pueden identificar intentos de explotación mediante la monitorización de logs de acceso y errores, así como revisando el contenido generado por usuarios con privilegios de colaborador o superior que incluya scripts sospechosos.

Alcance afectado

Las versiones afectadas de GiveWP son todas las anteriores a la 2.24. Es importante verificar la instalación del plugin en los sitios que lo utilizan.