wpDataTables – WordPress Data Table, Dynamic Tables & Table Charts Plugin <= 3.4.2.2 - Reflected Cross-Site Scripting.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin wpDataTables, afectando a versiones hasta la 3.4.2.2. Esta vulnerabilidad permite a un atacante ejecutar scripts maliciosos en el navegador de un usuario que visualiza una tabla afectada.

Contexto técnico

El fallo se presenta en la forma en que wpDataTables maneja las entradas de datos, permitiendo que un atacante inyecte código JavaScript malicioso a través de parámetros reflejados en las tablas. La superficie de ataque se centra principalmente en las interacciones de los usuarios con las tablas generadas por el plugin.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad de los usuarios, permitiendo a un atacante robar información sensible, como cookies de sesión o credenciales. Esto puede derivar en un daño reputacional para el negocio y pérdidas económicas debido a la falta de confianza de los usuarios.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad mediante la creación de enlaces maliciosos que, al ser visitados por un usuario, ejecutan el script inyectado en su navegador, afectando su sesión en el sitio web.

Mitigación recomendada

Actualizar el plugin wpDataTables a la versión 3.4.2.5 o superior. Además, se recomienda revisar las configuraciones de seguridad del sitio y aplicar medidas de hardening para minimizar el riesgo de futuras vulnerabilidades.

Señales de detección

Señales de posible explotación incluyen la aparición de comportamientos inusuales en los navegadores de los usuarios, como redirecciones inesperadas o la ejecución de scripts no autorizados en las páginas que contienen tablas generadas por el plugin.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin wpDataTables hasta la 3.4.2.2. Las instalaciones que no han sido actualizadas a la versión 3.4.2.5 están en riesgo.