Telephone Number Linker <= 1.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Telephone Number Linker, que afecta a las versiones hasta la 1.2. Este fallo permite a usuarios autenticados con rol de contribuyente o superior inyectar scripts maliciosos a través de shortcodes.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja los shortcodes, permitiendo que se almacenen scripts en el contenido. Esto puede ser explotado por usuarios autenticados para inyectar código JavaScript que se ejecute en el navegador de otros usuarios, lo que compromete la seguridad de la aplicación.

Impacto potencial

El impacto potencial de esta vulnerabilidad incluye la posibilidad de que atacantes roben información sensible, como credenciales de usuario, o realicen acciones no autorizadas en nombre de otros usuarios. Esto puede afectar la reputación de la empresa y la confianza de los usuarios en la plataforma.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando contenido malicioso a través de shortcodes en entradas o páginas, que luego se ejecutará en el navegador de otros usuarios que visualicen dicho contenido.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Telephone Number Linker a la versión 1.2 o superior. Además, se deben revisar los permisos de usuario para limitar el acceso a funciones críticas del plugin.

Señales de detección

Se pueden detectar intentos de explotación mediante la monitorización de logs que muestren inyecciones de scripts en entradas o páginas, así como la revisión de cambios no autorizados en el contenido.

Alcance afectado

La vulnerabilidad afecta a todas las instalaciones que utilizan versiones del plugin Telephone Number Linker hasta la 1.2, incluyendo aquellas con usuarios autenticados con rol de contribuyente o superior.