All in One SEO Pack <= 4.2.9 - Authenticated (Administrator+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo XSS almacenado en el plugin All in One SEO Pack, que afecta a versiones hasta la 4.2.9. Esta vulnerabilidad permite a un atacante autenticado inyectar scripts maliciosos en el sitio web.

Contexto técnico

El fallo se presenta en el procesamiento de entradas no sanitizadas, lo que permite la ejecución de código JavaScript en el contexto del navegador de otros usuarios. La superficie de ataque se centra en usuarios con privilegios de administrador que pueden manipular el contenido del plugin.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la integridad del sitio, permitiendo a un atacante ejecutar scripts en los navegadores de otros administradores o usuarios, lo que podría llevar al robo de credenciales o a la manipulación de datos sensibles.

Vector de explotación

Generalmente, la explotación se realiza mediante la inyección de un script malicioso en los campos de entrada del plugin, que luego se almacena y se ejecuta cuando otros administradores acceden a las páginas afectadas.

Mitigación recomendada

Actualizar el plugin All in One SEO Pack a la versión 4.3.0 o posterior. Además, se recomienda revisar las configuraciones de seguridad y realizar auditorías regulares de los plugins instalados.

Señales de detección

Señales de riesgo incluyen la presencia de scripts no autorizados en las páginas de administración y reportes de comportamientos extraños en el sitio web, así como alertas de seguridad de herramientas de escaneo.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 4.3.0 del plugin All in One SEO Pack.