Brizy – Page Builder <= 2.4.40 - Authenticated (Contributor+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Brizy Page Builder, que afecta a las versiones hasta la 2.4.40. Este fallo permite a usuarios autenticados con rol de colaborador o superior inyectar scripts maliciosos.

Contexto técnico

La vulnerabilidad se manifiesta en la forma en que el plugin gestiona las entradas de los usuarios, permitiendo que se almacenen scripts maliciosos en el servidor. Esto puede resultar en la ejecución de código no autorizado en el navegador de otros usuarios que visiten las páginas afectadas.

Impacto potencial

El impacto potencial incluye la posibilidad de robo de información sensible, suplantación de identidad y otras acciones maliciosas que podrían comprometer la seguridad de los usuarios y la integridad del sitio web. Esto puede dañar la reputación de la empresa y afectar su operativa.

Vector de explotación

La explotación de esta vulnerabilidad suele requerir que el atacante tenga acceso autenticado al sitio, específicamente con un rol de colaborador o superior, lo que limita el alcance del ataque a usuarios que ya tienen permisos en el sistema.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Brizy a la versión 2.4.41 o superior. Además, se sugiere revisar los permisos de los usuarios y aplicar buenas prácticas de seguridad como la validación de entradas y la sanitización de datos.

Señales de detección

Señales de riesgo incluyen la aparición de comportamientos inusuales en la ejecución de scripts en el navegador, así como reportes de usuarios sobre contenido no autorizado en las páginas generadas por el plugin.

Alcance afectado

Las versiones del plugin Brizy hasta la 2.4.40 están afectadas. La vulnerabilidad ha sido corregida en la versión 2.4.41 lanzada el 23 de febrero de 2024.