Currency Converter Widget <= 3.0.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via shortcode

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Currency Converter Widget en versiones anteriores a la 3.0.3. Esta vulnerabilidad permite a usuarios autenticados con rol de colaborador o superior inyectar scripts maliciosos a través de shortcodes.

Contexto técnico

La vulnerabilidad se origina en el manejo inadecuado de los datos introducidos por el usuario en los shortcodes del plugin. Esto permite que un atacante, con permisos de contribuyente o superiores, pueda almacenar scripts que se ejecutan en el navegador de otros usuarios que visualizan el contenido afectado.

Impacto potencial

El impacto puede ser significativo, ya que permite a un atacante robar información sensible, realizar phishing o comprometer la sesión de otros usuarios. Esto puede afectar la reputación del negocio y la confianza de los usuarios en la plataforma.

Vector de explotación

La explotación se lleva a cabo mediante la creación de un shortcode que incluye un script malicioso, el cual se almacena y se ejecuta cuando otros usuarios acceden a la página donde se encuentra el shortcode.

Mitigación recomendada

Actualizar el plugin Currency Converter Widget a la versión 3.0.3 o superior. Además, se recomienda revisar los permisos de los usuarios y aplicar políticas de seguridad que limiten la capacidad de los colaboradores para inyectar contenido potencialmente peligroso.

Señales de detección

Señales de riesgo incluyen la presencia de shortcodes sospechosos en el contenido del sitio y reportes de comportamientos extraños en los navegadores de los usuarios, como redirecciones no autorizadas o ventanas emergentes.

Alcance afectado

Las versiones del plugin Currency Converter Widget anteriores a la 3.0.3 están afectadas. Se recomienda verificar todas las instalaciones que utilicen este plugin.