My Content Management <= 1.7.6 - Authenticated (Administrator+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin My Content Management hasta la versión 1.7.6, que permite a administradores autenticados inyectar scripts maliciosos. Esta vulnerabilidad tiene una severidad media, con un CVSS de 4.4.

Contexto técnico

La vulnerabilidad se origina en la falta de validación adecuada de la entrada del usuario, lo que permite a un atacante con privilegios de administrador inyectar código JavaScript en el contenido almacenado. Esto puede afectar a los usuarios que visualizan dicho contenido, exponiéndolos a ataques de XSS.

Impacto potencial

El impacto potencial de esta vulnerabilidad incluye la posibilidad de que un atacante robe información sensible de los usuarios, como cookies de sesión, o realice acciones en nombre de los usuarios afectados. Esto podría comprometer la integridad y la reputación del sitio web.

Vector de explotación

Generalmente, la explotación se lleva a cabo mediante la inyección de scripts en áreas donde los administradores pueden añadir contenido, que luego es visualizado por otros usuarios sin la debida sanitización.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 1.7.7 o superior. Además, se debe implementar una revisión de las entradas del usuario y aplicar medidas de seguridad adicionales, como Content Security Policy (CSP).

Señales de detección

Señales de posible explotación incluyen la detección de scripts inusuales en el contenido del sitio, así como comportamientos anómalos en los registros de acceso que indiquen intentos de inyección de código.

Alcance afectado

La vulnerabilidad afecta a todas las instalaciones del plugin My Content Management hasta la versión 1.7.6, lanzada antes del 30 de junio de 2023.