Ultimate Dashboard <= 3.7.7 - Authenticated (Administrator+) Stored Cross-Site Scripting via plugin settings

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Ultimate Dashboard en versiones hasta la 3.7.7, que permite a administradores autenticados ejecutar scripts maliciosos. Esta vulnerabilidad tiene una severidad media, con un CVSS de 4.4.

Contexto técnico

La vulnerabilidad se origina en la configuración del plugin, donde se permite la inyección de scripts a través de las opciones de configuración accesibles para administradores. Esto puede ser explotado si un atacante con acceso administrativo manipula los ajustes del plugin.

Impacto potencial

El impacto potencial incluye la posibilidad de que un atacante ejecute código malicioso en el contexto de la sesión de un usuario autenticado, lo que podría llevar al robo de información sensible o a la toma de control de la cuenta del administrador afectado.

Vector de explotación

La explotación se lleva a cabo mediante la modificación de los ajustes del plugin por parte de un administrador, lo que permite la inyección de scripts maliciosos que se ejecutan en el navegador de otros usuarios que visitan la página afectada.

Mitigación recomendada

Actualizar el plugin Ultimate Dashboard a la versión 3.7.8 o superior para mitigar la vulnerabilidad. Además, se recomienda revisar los ajustes del plugin y realizar auditorías de seguridad periódicas.

Señales de detección

Señales de explotación incluyen la aparición de scripts no autorizados en el código fuente de las páginas generadas por el plugin, así como comportamientos inusuales en las sesiones de los usuarios administradores.

Alcance afectado

Las versiones del plugin Ultimate Dashboard hasta la 3.7.7 están afectadas. La versión 3.7.8 y posteriores han corregido esta vulnerabilidad.