Beaver Builder <= 2.7.4.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via Icon Widget

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Beaver Builder Lite, que afecta a las versiones hasta la 2.7.4.2. Esta vulnerabilidad permite que usuarios autenticados con rol de colaborador o superior inyecten scripts maliciosos a través del widget de icono.

Contexto técnico

El fallo se origina en la forma en que el plugin maneja la entrada de datos en el widget de icono, permitiendo que se almacenen scripts no sanitizados. Esto crea una superficie de ataque donde un atacante puede ejecutar código JavaScript en el contexto de otros usuarios que visualicen el contenido afectado.

Impacto potencial

El impacto potencial incluye la posibilidad de que un atacante robe información sensible de los usuarios, realice acciones no autorizadas en su nombre o redirija a los usuarios a sitios maliciosos. Esto puede comprometer la integridad del sitio y la confianza de los usuarios en la plataforma.

Vector de explotación

La explotación de esta vulnerabilidad se puede realizar mediante la inyección de código JavaScript a través del widget de icono, siendo necesario que el atacante tenga acceso a una cuenta de colaborador o superior en el sitio web afectado.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Beaver Builder Lite a la versión 2.7.4.3 o superior. Además, es aconsejable revisar y sanitizar todas las entradas de usuario en el sitio, así como implementar políticas de seguridad que limiten los privilegios de los usuarios.

Señales de detección

Señales de posible explotación incluyen la aparición de scripts no autorizados en el contenido del sitio, así como comportamientos inusuales de los usuarios que podrían indicar un ataque XSS en curso.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin Beaver Builder Lite hasta la 2.7.4.2. Se recomienda a los administradores de sitios que verifiquen la versión instalada y procedan a la actualización.