Font Awesome Integration <= 5.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Font Awesome Integration, que afecta a las versiones anteriores a la 5.0. Esta vulnerabilidad permite la inyección de scripts maliciosos a través de shortcodes por usuarios autenticados con rol de colaborador o superior.

Contexto técnico

El fallo se produce cuando los shortcodes son procesados sin la debida sanitización, permitiendo que un atacante inyecte código JavaScript malicioso. Esto se traduce en un riesgo de ejecución de scripts en el navegador de otros usuarios que visualicen el contenido afectado.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad de los usuarios finales, permitiendo a un atacante robar información sensible o realizar acciones no autorizadas en nombre de los usuarios. Además, puede afectar la reputación del sitio y su integridad.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad al crear contenido malicioso que incluye shortcodes, que luego son procesados por el plugin, ejecutando el código inyectado en el contexto de otros usuarios autenticados.

Mitigación recomendada

Se recomienda actualizar el plugin Font Awesome Integration a la versión 5.0 o superior. Además, se sugiere revisar y sanitizar adecuadamente todos los shortcodes utilizados en el sitio para prevenir futuras inyecciones de código.

Señales de detección

Señales de riesgo incluyen la presencia de scripts inusuales en la salida del contenido generado por shortcodes, así como reportes de comportamiento extraño por parte de los usuarios del sitio.

Alcance afectado

Las versiones del plugin Font Awesome Integration anteriores a la 5.0 están afectadas. Se recomienda a todos los usuarios de este plugin verificar su versión y proceder a la actualización.