SP Project & Document Manager <= 4.67 - Authenticated (Administrator+) Stored Cross-Site Scripting via plugin settings

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin SP Project & Document Manager en versiones hasta la 4.67. Esta falla permite a usuarios autenticados con privilegios de administrador inyectar scripts maliciosos a través de la configuración del plugin.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja las entradas de los usuarios en sus ajustes. Al no validar adecuadamente los datos, un atacante puede inyectar código JavaScript que se ejecuta en el navegador de otros usuarios, comprometiendo así la seguridad de la aplicación.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el contexto de otros usuarios, lo que podría llevar al robo de información sensible, suplantación de identidad o la propagación de malware. Esto puede afectar la confianza de los usuarios y la reputación del negocio.

Vector de explotación

Generalmente, la explotación se lleva a cabo mediante la modificación de las configuraciones del plugin por parte de un usuario con privilegios de administrador, inyectando código malicioso que luego se ejecuta en el navegador de otros usuarios que acceden a las funciones afectadas del plugin.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 4.68 o superior. Además, se deben revisar las configuraciones del plugin para eliminar cualquier entrada sospechosa y aplicar prácticas de codificación segura para validar y sanitizar todas las entradas de los usuarios.

Señales de detección

Señales de posible explotación incluyen la aparición de comportamientos inusuales en el sitio web, como redirecciones inesperadas, ventanas emergentes no solicitadas o la inyección de contenido extraño en las páginas. También se deben monitorizar los registros de acceso para detectar modificaciones no autorizadas en la configuración del plugin.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin SP Project & Document Manager hasta la 4.67. Las instalaciones que utilizan estas versiones son vulnerables a esta falla.