Starbox <= 3.4.8 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Job Settings

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Starbox, que afecta a las versiones hasta la 3.4.8. Esta falla permite a usuarios autenticados con rol de suscriptor o superior inyectar scripts maliciosos a través de la configuración de trabajos.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja los datos introducidos en los ajustes de trabajos. La falta de validación y desinfección adecuada de los datos permite que se almacenen scripts maliciosos, que se ejecutan posteriormente en el navegador de otros usuarios.

Impacto potencial

El impacto potencial incluye la posibilidad de que un atacante robe información sensible, realice acciones no autorizadas en nombre de otros usuarios o comprometa la integridad del sitio. Esto puede llevar a la pérdida de confianza por parte de los usuarios y daños a la reputación del negocio.

Vector de explotación

La explotación de esta vulnerabilidad se lleva a cabo mediante la creación de un trabajo que contenga código JavaScript malicioso. Un usuario autenticado puede introducir este código en los ajustes del trabajo, lo que se ejecutará cuando otros usuarios accedan a la página correspondiente.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Starbox a la versión 3.5.0 o superior. Además, se debe revisar la configuración de permisos de los roles de usuario y aplicar medidas de seguridad adicionales como la validación de entrada y la desinfección de datos.

Señales de detección

Se pueden detectar intentos de explotación mediante la monitorización de entradas inusuales en los ajustes del plugin, así como la identificación de scripts no autorizados en las páginas donde se muestran los trabajos.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 3.5.0 del plugin Starbox. Se recomienda a los administradores de sitios que utilicen versiones anteriores que realicen la actualización de inmediato.