Chartjs <= 2023.2 - Authenticated(Editor+) Stored Cross-Site Scripting via chart

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Chartjs, que afecta a versiones anteriores a la 2023.2. Esta vulnerabilidad permite a usuarios autenticados con rol de Editor o superior ejecutar scripts maliciosos a través de gráficos.

Contexto técnico

El fallo se produce por la falta de validación adecuada de los datos introducidos en los gráficos generados por el plugin. Esto permite que un atacante inyecte código JavaScript en los gráficos, que se ejecutará en el navegador de otros usuarios que visualicen la página.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad de los usuarios al permitir que un atacante robe información sensible, como cookies de sesión o credenciales, lo que podría resultar en un acceso no autorizado a la administración del sitio.

Vector de explotación

Generalmente, un atacante con acceso como Editor puede crear un gráfico que contenga código malicioso. Cuando otros usuarios visualizan el gráfico, el script se ejecuta en su navegador, facilitando el robo de información o la manipulación del contenido.

Mitigación recomendada

Actualizar el plugin Chartjs a la versión 2023.2 o superior para corregir la vulnerabilidad. Además, se recomienda revisar los permisos de los usuarios y limitar el acceso a roles que realmente lo necesiten.

Señales de detección

Se debe estar atento a comportamientos inusuales en el sitio, como la aparición de scripts no autorizados en los gráficos o reportes de usuarios que experimentan comportamientos extraños al interactuar con el contenido generado por el plugin.

Alcance afectado

Las versiones del plugin Chartjs anteriores a la 2023.2 son vulnerables. Se recomienda a todos los usuarios de este plugin realizar la actualización a la brevedad.