BP Better Messages <= 2.4.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via shortcode

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin BP Better Messages, que afecta a las versiones hasta la 2.4.0. Esta falla permite la inyección de scripts maliciosos a través de shortcodes por usuarios autenticados con rol de contribuyente o superior.

Contexto técnico

La vulnerabilidad se presenta como un XSS almacenado, lo que implica que el código malicioso se guarda en la base de datos y se ejecuta cuando otros usuarios acceden a la información afectada. La superficie de ataque se centra en usuarios autenticados que pueden insertar shortcodes en el contenido.

Impacto potencial

El impacto potencial de esta vulnerabilidad puede ser significativo, ya que permite a un atacante inyectar scripts que pueden robar información sensible, realizar acciones en nombre de otros usuarios o desfigurar el sitio. Esto puede comprometer la integridad del sitio y la confianza de los usuarios.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad mediante la creación de contenido que incluya shortcodes maliciosos, que son ejecutados cuando otros usuarios visualizan dicho contenido. Esto requiere que el atacante tenga acceso como contribuyente o superior.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin BP Better Messages a la versión 2.4.1 o superior. Además, es aconsejable revisar los permisos de los usuarios y restringir el acceso a funciones críticas del sitio.

Señales de detección

Señales de posible explotación incluyen la aparición de scripts no autorizados en el contenido generado por usuarios, así como comportamientos inusuales en la interacción de los usuarios con el sitio.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin BP Better Messages hasta la 2.4.0. Se recomienda a los administradores de WordPress que verifiquen si utilizan este plugin y tomen medidas inmediatas.