SEO Plugin by Squirrly SEO <= 12.1.20 - Reflected Cross-Site Scripting via 'page' and 'tab'

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin SEO de Squirrly SEO, que afecta a las versiones hasta la 12.1.20. Esta vulnerabilidad permite la inyección de scripts maliciosos a través de parámetros específicos en las solicitudes.

Contexto técnico

La vulnerabilidad se manifiesta mediante un fallo en la validación de entradas en los parámetros 'page' y 'tab'. Esto permite que un atacante pueda inyectar código JavaScript que se ejecuta en el navegador de los usuarios que visitan la página afectada, comprometiendo así la seguridad de la sesión del usuario.

Impacto potencial

El impacto potencial de esta vulnerabilidad es medio, dado que podría permitir a un atacante robar información sensible de los usuarios o realizar acciones no autorizadas en su nombre. Esto podría afectar la reputación de la empresa y la confianza de los usuarios.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad mediante la creación de enlaces maliciosos que, al ser visitados por un usuario, ejecutan el script inyectado, llevando a cabo acciones no deseadas o robando información.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 12.1.21 o superior. Además, es aconsejable implementar medidas de seguridad adicionales, como la validación de entradas y el uso de Content Security Policy (CSP).

Señales de detección

Señales de riesgo incluyen comportamientos inusuales en las sesiones de usuario, como redirecciones inesperadas o la aparición de contenido no autorizado en el frontend del sitio.

Alcance afectado

Las versiones del plugin Squirrly SEO hasta la 12.1.20 están afectadas. Se debe verificar la instalación del plugin en los sitios para determinar la necesidad de actualización.