WPBakery Page Builder Addons by Livemesh <= 3.8.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin WPBakery Page Builder Addons by Livemesh, que afecta a las versiones hasta la 3.8.1. Este fallo permite a usuarios autenticados con rol de contribuyente o superior ejecutar código malicioso a través de shortcodes.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja los shortcodes, permitiendo la inyección de scripts maliciosos que son almacenados y luego ejecutados en el navegador de otros usuarios. Esto representa un riesgo significativo, ya que los atacantes pueden aprovecharse de la confianza entre usuarios autenticados.

Impacto potencial

El impacto de esta vulnerabilidad puede ser considerable, afectando tanto la integridad de la información como la confianza de los usuarios en el sitio. Un atacante podría robar información sensible, realizar acciones no autorizadas o comprometer la seguridad general del sitio web.

Vector de explotación

La explotación de este fallo se lleva a cabo mediante la creación de un shortcode que contiene código JavaScript malicioso, el cual es luego guardado y ejecutado cuando otros usuarios acceden a la página que lo contiene.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 3.8.3 o superior. Además, se sugiere revisar los permisos de los usuarios y aplicar prácticas de seguridad adicionales, como la validación de entrada y la sanitización de datos.

Señales de detección

Se pueden detectar intentos de explotación observando patrones inusuales en las solicitudes de shortcode o la aparición de scripts no autorizados en las páginas generadas por el plugin.

Alcance afectado

Las versiones del plugin WPBakery Page Builder Addons by Livemesh hasta la 3.8.1 están afectadas. Se recomienda a los administradores de sitios que utilicen este plugin que verifiquen su versión.