Waiting: One-click countdowns <= 0.6.2 - Missing Authorization Checks leading to Authenticated (Subscriber+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin 'Waiting' para WordPress, que permite la ejecución de scripts maliciosos a través de un fallo en las comprobaciones de autorización. Esta vulnerabilidad afecta a las versiones hasta la 0.6.2 y tiene una puntuación CVSS de 7.4.

Contexto técnico

La vulnerabilidad se manifiesta como un Cross-Site Scripting (XSS) almacenado, donde los usuarios autenticados con roles de suscriptor o superiores pueden inyectar código JavaScript malicioso. La falta de controles de autorización adecuados permite que los atacantes exploten esta debilidad para ejecutar scripts en el contexto de otros usuarios.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar código malicioso en el navegador de otros usuarios, comprometiendo la seguridad de la sesión y potencialmente robando información sensible. Además, puede dañar la reputación del sitio y afectar la confianza de los usuarios.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando solicitudes manipuladas que incluyen código JavaScript malicioso, que se almacena y se ejecuta cuando otros usuarios acceden a la página afectada.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin 'Waiting' a la versión 0.6.2 o superior. Además, es aconsejable revisar los permisos de usuario y aplicar medidas de seguridad adicionales, como el uso de un firewall de aplicaciones web.

Señales de detección

Se pueden detectar intentos de explotación mediante registros de actividad inusuales, como la inyección de scripts en entradas de formularios o cambios inesperados en el contenido de las páginas.

Alcance afectado

Las versiones del plugin 'Waiting' hasta la 0.6.2 están afectadas por esta vulnerabilidad. Es crucial que todos los usuarios de este plugin realicen la actualización correspondiente.