Fuente base de datos: Wordfence Intelligence

Advanced Custom Fields <= 6.2.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via Custom Field

PLUGIN MEDIUM CVE-2023-6701

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Advanced Custom Fields, afectando a las versiones hasta la 6.2.4. Esta vulnerabilidad permite a los usuarios autenticados con rol de contribuidor o superior ejecutar scripts maliciosos a través de campos personalizados.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin procesa y muestra datos de los campos personalizados, permitiendo la inyección de código JavaScript. Esto afecta principalmente a la interfaz de administración donde los usuarios pueden introducir contenido en los campos personalizados.

Impacto potencial

El impacto potencial incluye la ejecución de scripts maliciosos que pueden robar información sensible, redirigir a los usuarios a sitios maliciosos o comprometer la integridad del sitio web. Esto puede resultar en daños a la reputación del negocio y pérdida de confianza por parte de los usuarios.

Vector de explotación

Los atacantes podrían explotar esta vulnerabilidad al crear contenido malicioso en un campo personalizado que se ejecute cuando otros usuarios con permisos adecuados visualicen dicho contenido en el panel de administración.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Advanced Custom Fields a la versión 6.2.5 o superior. Además, se sugiere revisar los permisos de los usuarios y limitar el acceso a los campos personalizados a solo aquellos que realmente lo necesiten.

Señales de detección

Señales de posible explotación incluyen la aparición de scripts no autorizados en el contenido de los campos personalizados o actividad inusual en el panel de administración por parte de usuarios contribuyentes.

Alcance afectado

Las versiones del plugin Advanced Custom Fields hasta la 6.2.4 están afectadas. Es crucial que los administradores de WordPress verifiquen sus instalaciones para asegurar que están utilizando una versión segura.