Fuente base de datos: Wordfence Intelligence

Broken Link Checker <= 2.2.3 - Authenticated (Administrator+) Stored Cross-Site Scripting via settings

PLUGIN MEDIUM CVE-2024-25592

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Broken Link Checker, que afecta a versiones hasta la 2.2.3. Esta vulnerabilidad permite a un atacante autenticado con privilegios de administrador inyectar scripts maliciosos a través de la configuración del plugin.

Contexto técnico

El fallo se encuentra en la forma en que el plugin gestiona la entrada de datos en sus configuraciones. Un atacante con acceso administrativo puede introducir código JavaScript malicioso que se ejecutará en el navegador de otros usuarios, comprometiendo la seguridad de la sesión.

Impacto potencial

El impacto potencial de esta vulnerabilidad es medio, ya que permite a un atacante robar información sensible o realizar acciones en nombre de otros usuarios. Esto podría resultar en una pérdida de confianza por parte de los usuarios y daños a la reputación del sitio web.

Vector de explotación

La explotación de esta vulnerabilidad suele llevarse a cabo cuando un atacante autenticado modifica las configuraciones del plugin para incluir scripts maliciosos, que luego se ejecutan en el contexto de otros usuarios que visitan la página afectada.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin Broken Link Checker a la versión 2.2.4 o superior. Además, es aconsejable revisar las configuraciones del plugin y eliminar cualquier entrada sospechosa. Implementar medidas de seguridad adicionales, como la validación y el saneamiento de entradas, también es crucial.

Señales de detección

Señales de posible explotación incluyen cambios no autorizados en las configuraciones del plugin y la aparición de scripts inusuales en el código fuente de las páginas generadas por el plugin.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin Broken Link Checker hasta la 2.2.3. Se recomienda a todos los usuarios de este plugin que realicen la actualización correspondiente.