Page Builder: Pagelayer <= 1.7.7 - Authenticated (Author+) Stored Cross-Site Scripting via Header/Footer

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Pagelayer, que afecta a las versiones hasta la 1.7.7. Este fallo permite a usuarios autenticados con rol de autor o superior inyectar scripts maliciosos en el encabezado o pie de página del sitio web.

Contexto técnico

La vulnerabilidad se origina en la forma en que Pagelayer gestiona la entrada de datos para los campos de encabezado y pie de página. Al no validar adecuadamente estas entradas, un atacante puede insertar código JavaScript que será ejecutado en el navegador de otros usuarios que visiten la página afectada.

Impacto potencial

La explotación de esta vulnerabilidad puede permitir a un atacante robar información sensible, como cookies de sesión, o redirigir a los usuarios a sitios maliciosos. Esto puede comprometer la integridad del sitio y dañar la confianza de los usuarios, afectando negativamente la reputación del negocio.

Vector de explotación

Normalmente, la explotación se lleva a cabo por un usuario autenticado que tiene permisos de autor o superiores. Este usuario inyecta el código malicioso en los campos de encabezado o pie de página, que luego se ejecuta en el contexto de otros usuarios que visitan la página.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Pagelayer a la versión 1.7.8 o superior. Además, se sugiere implementar medidas de validación y sanitización de entradas en todos los campos que acepten datos del usuario.

Señales de detección

Se pueden detectar intentos de explotación observando comportamientos inusuales en el tráfico web, como la inyección de scripts en los encabezados o pies de página, así como la aparición de errores de JavaScript en la consola del navegador.

Alcance afectado

Las versiones del plugin Pagelayer hasta la 1.7.7 son las afectadas. Se recomienda a todos los usuarios de este plugin que verifiquen su versión y realicen la actualización correspondiente.