Custom Base Terms <= 1.0.2.3 - Authenticated (Administrator+) Stored Cross-Site Scripting via 'base'

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Custom Base Terms, que afecta a las versiones hasta la 1.0.2.3. Esta vulnerabilidad permite la inyección de scripts maliciosos por parte de administradores autenticados.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja los datos introducidos en el campo 'base'. Un atacante con privilegios de administrador puede almacenar scripts maliciosos que se ejecutan cuando otros usuarios acceden a la información afectada, lo que puede comprometer la seguridad del sitio.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar código JavaScript en el contexto de otros usuarios, potencialmente robando información sensible o realizando acciones no autorizadas en nombre de estos usuarios.

Vector de explotación

Normalmente, la explotación se lleva a cabo cuando un administrador malintencionado introduce un script en el campo 'base', que luego se almacena y se ejecuta en el navegador de otros usuarios que visitan la página afectada.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 1.0.3 o superior. Además, se sugiere revisar los permisos de los usuarios administradores y aplicar prácticas de codificación segura en el manejo de entradas.

Señales de detección

Se deben monitorizar las entradas en el campo 'base' del plugin para detectar cualquier script inusual o no autorizado. También es recomendable revisar los logs de actividad para identificar comportamientos sospechosos por parte de usuarios administradores.

Alcance afectado

Las versiones del plugin Custom Base Terms hasta la 1.0.2.3 son las afectadas, por lo que cualquier instalación que utilice estas versiones está en riesgo.