Page Builder by AZEXO <= 1.27.133 - Cross-Site Request Forgery to Stored Cross-Site Scripting via azh_save

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) que permite la ejecución de scripts maliciosos en el plugin Page Builder by AZEXO hasta la versión 1.27.133. Esta vulnerabilidad puede ser explotada para inyectar código malicioso en el sitio afectado.

Contexto técnico

La vulnerabilidad se origina en la falta de validación adecuada de las solicitudes en el plugin, lo que permite que un atacante envíe peticiones maliciosas que se ejecuten en el contexto de un usuario autenticado. Esto puede resultar en la ejecución de scripts no autorizados en el navegador de la víctima.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante inyectar scripts que podrían robar información sensible, modificar contenido del sitio o realizar acciones no autorizadas en nombre de los usuarios. Esto puede comprometer la integridad del sitio y la confianza de los usuarios.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad mediante el envío de enlaces manipulados a usuarios autenticados, que al hacer clic en ellos, ejecutan acciones no deseadas en el sitio web, como la inyección de scripts maliciosos.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Page Builder by AZEXO a la versión 1.27.133 o superior. Además, se sugiere implementar medidas de seguridad adicionales como la validación de tokens CSRF en formularios y peticiones.

Señales de detección

Se pueden detectar intentos de explotación mediante la monitorización de registros de acceso y la identificación de solicitudes inusuales que intenten modificar contenido o ejecutar scripts en el sitio.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.27.133 del plugin Page Builder by AZEXO. Se recomienda a los administradores de sitios que utilicen este plugin que verifiquen su versión.