Yoast SEO <= 20.2 - Authenticated (Contributor+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Yoast SEO, afectando a versiones hasta la 20.2. Este fallo puede ser explotado por usuarios autenticados con rol de colaborador o superior.

Contexto técnico

La vulnerabilidad permite la inyección de scripts maliciosos en el contenido almacenado, lo que puede ser ejecutado en el navegador de otros usuarios. Esta falla se presenta en la gestión de entradas por parte de usuarios autenticados, lo que amplía la superficie de ataque a aquellos con permisos de edición.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante inyectar código malicioso que podría robar información sensible o comprometer la integridad del sitio. Esto podría derivar en pérdida de confianza por parte de los usuarios y daños a la reputación de la marca.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad mediante la creación de contenido que incluye scripts maliciosos, que luego son visualizados por otros usuarios del sitio, especialmente aquellos con permisos limitados.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Yoast SEO a la versión 20.2.1 o superior. Además, se deben revisar los permisos de usuario y limitar el acceso a funciones críticas del sitio.

Señales de detección

Se pueden detectar intentos de explotación mediante la monitorización de entradas de contenido que contengan scripts no autorizados o patrones inusuales en los registros de actividad de usuarios.

Alcance afectado

Las versiones del plugin Yoast SEO desde su lanzamiento hasta la 20.2 están afectadas. Es crucial para los administradores de sitios que utilicen este plugin verificar su versión.