Tutor LMS <= 2.2.4 - Authenticated (Subscriber+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) almacenado en el plugin Tutor LMS, que afecta a las versiones hasta la 2.2.4. Este fallo permite a usuarios autenticados con rol de suscriptor o superior ejecutar scripts maliciosos en el navegador de otros usuarios.

Contexto técnico

La vulnerabilidad se origina en la forma en que Tutor LMS gestiona la entrada de datos de los usuarios, permitiendo que se almacenen scripts maliciosos en el sistema. Esta falta de validación adecuada de la entrada de datos crea una superficie de ataque donde los usuarios pueden inyectar código JavaScript que se ejecutará en el contexto de otros usuarios.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en el robo de información sensible, como credenciales de usuario, o en la manipulación de la experiencia del usuario en el sitio web. Esto puede dañar la reputación del negocio y comprometer la confianza de los usuarios.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando contenido malicioso a través de formularios que son procesados por el plugin Tutor LMS, lo que permite que el código malicioso se ejecute cuando otros usuarios acceden a la página afectada.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Tutor LMS a la versión 2.3.0 o superior. Además, se sugiere implementar medidas de validación y sanitización de datos en todas las entradas de usuario, así como revisar los permisos de los roles de usuario.

Señales de detección

Señales de posible explotación incluyen la aparición de scripts no autorizados en el contenido generado por el plugin o informes de comportamiento inusual por parte de los usuarios, como redirecciones inesperadas o ventanas emergentes.

Alcance afectado

Las versiones afectadas de Tutor LMS son aquellas anteriores a la 2.3.0. La vulnerabilidad impacta a todos los sitios que utilizan estas versiones del plugin.