Advanced Access Manager <= 6.9.20 - Authenticated (Administrator+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Advanced Access Manager, que afecta a las versiones hasta la 6.9.20. Esta vulnerabilidad permite a un atacante autenticado con privilegios de administrador ejecutar scripts maliciosos en el contexto del navegador de otros usuarios.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin procesa y almacena datos introducidos por el usuario. Al no sanitizar adecuadamente estos datos, se permite la inyección de scripts maliciosos que pueden ser ejecutados posteriormente, afectando a otros usuarios que accedan a la misma sesión.

Impacto potencial

El impacto potencial incluye la posibilidad de que un atacante robe información sensible, como credenciales de usuario, o realice acciones no autorizadas en nombre de otros usuarios. Esto puede comprometer la integridad y la confianza en la plataforma, afectando gravemente la reputación del negocio.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad mediante el envío de datos maliciosos a través de formularios o campos de entrada del plugin, los cuales son luego procesados y almacenados, permitiendo la ejecución de scripts en sesiones de otros usuarios.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Advanced Access Manager a la versión 6.9.21 o superior. Además, se deben revisar y aplicar prácticas de codificación segura, como la sanitización y validación de datos de entrada.

Señales de detección

Señales de riesgo incluyen la presencia de scripts no autorizados en el contenido generado por el plugin, así como comportamientos anómalos en las sesiones de usuario, como redirecciones inesperadas o la carga de contenido no deseado.

Alcance afectado

Las versiones del plugin Advanced Access Manager hasta la 6.9.20 están afectadas por esta vulnerabilidad. Las instalaciones que utilicen estas versiones corren un riesgo significativo si no se actualizan.