Custom 404 Pro <= 3.10.0 - Unauthenticated Stored Cross-Site Scripting via logging

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Custom 404 Pro, que afecta a las versiones hasta la 3.10.0. Esta vulnerabilidad permite la ejecución de scripts maliciosos sin autenticación, lo que representa un riesgo significativo para la seguridad del sitio web.

Contexto técnico

La vulnerabilidad se origina en el manejo inadecuado de los registros de entrada, lo que permite a un atacante inyectar código JavaScript malicioso. Esta inyección puede ser aprovechada a través de la interfaz de registro del plugin, afectando a los usuarios que visiten la página comprometida.

Impacto potencial

El impacto de esta vulnerabilidad puede ser grave, ya que permite a un atacante ejecutar scripts en el contexto del navegador de un usuario, lo que puede llevar al robo de credenciales, suplantación de identidad y otras acciones maliciosas. Además, puede dañar la reputación del negocio y afectar la confianza de los usuarios.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando datos maliciosos a través de la funcionalidad de registro del plugin, que luego se muestra sin la debida sanitización en el frontend del sitio web.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin Custom 404 Pro a la versión 3.10.1 o superior. Además, se debe revisar la configuración del plugin y aplicar medidas de seguridad adicionales, como la validación y sanitización de todas las entradas de usuario.

Señales de detección

Las señales que pueden indicar un intento de explotación incluyen la aparición de scripts no autorizados en las respuestas del servidor y comportamientos inusuales en el registro de entradas del plugin.

Alcance afectado

Las versiones del plugin Custom 404 Pro hasta la 3.10.0 están afectadas por esta vulnerabilidad. Se recomienda a los usuarios que verifiquen sus instalaciones y actualicen a la versión más reciente.