Church Admin <= 4.0.26 - Authenticated (Contributor+) Stored Cross-Site Scripting via shortcode

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Church Admin hasta la versión 4.0.26. Esta vulnerabilidad permite la inyección de scripts maliciosos a través de shortcodes por usuarios autenticados con rol de colaborador o superior.

Contexto técnico

El fallo se origina en la forma en que el plugin gestiona los shortcodes, permitiendo que un atacante autenticado inserte código JavaScript malicioso que se ejecutará en el navegador de otros usuarios. Esto se considera una vulnerabilidad de XSS almacenado, ya que el código se almacena en la base de datos y se ejecuta posteriormente.

Impacto potencial

La explotación de esta vulnerabilidad puede tener consecuencias significativas para la seguridad del sitio, incluyendo el robo de sesiones de usuario, la manipulación de contenido y la posible propagación de malware. Además, puede comprometer la confianza de los usuarios en el sitio web.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad al crear un shortcode malicioso y publicarlo en el sitio, lo que requiere que el atacante tenga al menos un rol de colaborador. Una vez que el shortcode es ejecutado por otros usuarios, el script malicioso se activa.

Mitigación recomendada

Se recomienda actualizar el plugin Church Admin a la versión 4.0.27 o superior para corregir esta vulnerabilidad. Además, se sugiere revisar y limpiar cualquier shortcode sospechoso que pueda haber sido insertado en el sitio.

Señales de detección

Las señales de posible explotación incluyen la aparición de scripts no autorizados en la salida HTML de las páginas, así como reportes de comportamientos inusuales por parte de usuarios, como redirecciones o ventanas emergentes inesperadas.

Alcance afectado

Las versiones del plugin Church Admin hasta la 4.0.26 están afectadas. Las instalaciones que no han sido actualizadas a la versión 4.0.27 pueden estar en riesgo.