Namaste! LMS <= 2.5.9.9 - Authenticated (Administrator+) Stored Cross-Site Scripting via 'accept_other_payment_methods', 'other_payment_methods' Parameters

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Namaste! LMS, que afecta a las versiones hasta la 2.5.9.9. Esta vulnerabilidad permite a un atacante autenticado inyectar scripts maliciosos a través de ciertos parámetros en el plugin.

Contexto técnico

La vulnerabilidad se origina en los parámetros 'accept_other_payment_methods' y 'other_payment_methods', que no validan adecuadamente la entrada del usuario. Esto permite que un atacante con privilegios de administrador inserte código JavaScript malicioso que se ejecutará en el navegador de otros usuarios cuando visualicen la información afectada.

Impacto potencial

La explotación exitosa de esta vulnerabilidad podría comprometer la seguridad de los usuarios del sistema, permitiendo el robo de información sensible o la ejecución de acciones no autorizadas en su nombre. Esto puede afectar la confianza del usuario y la integridad de los datos en la plataforma.

Vector de explotación

Generalmente, la explotación se realiza mediante la manipulación de los parámetros mencionados, donde un atacante autenticado envía datos maliciosos que son luego procesados y reflejados sin la debida sanitización.

Mitigación recomendada

Actualizar el plugin Namaste! LMS a la versión 2.6 o superior para corregir esta vulnerabilidad. Además, se recomienda implementar medidas de seguridad adicionales, como la validación y el saneamiento de entradas en todas las áreas de entrada de datos.

Señales de detección

Se pueden detectar intentos de explotación observando registros de actividad inusuales, especialmente aquellos que incluyen la manipulación de los parámetros 'accept_other_payment_methods' y 'other_payment_methods'.

Alcance afectado

Las versiones del plugin Namaste! LMS hasta la 2.5.9.9 están afectadas. Las instalaciones que utilicen estas versiones son vulnerables hasta que se realice la actualización.