Burst Statistics – Privacy-Friendly Analytics for WordPress <= 1.5.6.1 - Authenticated(Contributor+) Stored Cross-Site Scripting via burst_total_pageviews_count

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Burst Statistics, que afecta a versiones hasta la 1.5.6.1. Este fallo permite a usuarios autenticados con rol de colaborador o superior inyectar scripts maliciosos.

Contexto técnico

La vulnerabilidad se localiza en el manejo de la variable 'burst_total_pageviews_count', donde no se realiza la adecuada sanitización de la entrada, permitiendo la ejecución de código JavaScript no autorizado en el contexto del navegador del usuario.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad de la instalación de WordPress, permitiendo a un atacante robar información sensible o realizar acciones no autorizadas en nombre de otros usuarios, lo que puede afectar la confianza de los usuarios y la integridad del sitio.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad al enviar datos manipulados a través de formularios o interfaces que permiten la modificación del conteo de vistas, ejecutando scripts en el navegador de otros usuarios autenticados.

Mitigación recomendada

Actualizar el plugin Burst Statistics a la versión 1.5.7 o superior. Además, se recomienda revisar las configuraciones de seguridad y aplicar prácticas de hardening en la instalación de WordPress para minimizar riesgos adicionales.

Señales de detección

Se deben monitorizar logs de actividad inusuales, especialmente aquellos que muestran cambios en el conteo de vistas o intentos de inyección de scripts en formularios de entrada.

Alcance afectado

Las versiones de Burst Statistics hasta la 1.5.6.1 están afectadas. Se recomienda a los administradores de sitios que utilicen este plugin verificar su versión y aplicar la actualización correspondiente.