Page Builder: Pagelayer – Drag and Drop website builder <= 1.8.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via Custom Attributes

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Pagelayer, que afecta a las versiones hasta la 1.8.3. Esta vulnerabilidad permite a usuarios autenticados con rol de contribuidor o superior inyectar scripts maliciosos a través de atributos personalizados.

Contexto técnico

La vulnerabilidad se manifiesta a través de atributos personalizados en el constructor de páginas de Pagelayer. Un atacante con acceso a una cuenta de contribuidor puede insertar código JavaScript que se ejecutará en el navegador de otros usuarios, comprometiendo la seguridad de la sesión.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a un atacante robar información sensible, como cookies de sesión, o realizar acciones en nombre de otros usuarios, lo que podría comprometer la integridad de la plataforma y la confianza de los usuarios.

Vector de explotación

Normalmente, la explotación se lleva a cabo mediante la creación de contenido que incluya código JavaScript malicioso en los atributos personalizados, el cual se ejecuta cuando otros usuarios visitan la página afectada.

Mitigación recomendada

Actualizar el plugin Pagelayer a la versión 1.8.4 o superior para corregir la vulnerabilidad. Además, es recomendable revisar los permisos de los roles de usuario y limitar el acceso a funciones críticas del plugin.

Señales de detección

Se deben monitorizar logs de actividad en el sitio para detectar inserciones inusuales de contenido o cambios en atributos personalizados que no correspondan a la actividad habitual de los usuarios.

Alcance afectado

Las versiones del plugin Pagelayer hasta la 1.8.3 son vulnerables. Se recomienda a los administradores de sitios que utilicen este plugin que verifiquen su versión y apliquen las actualizaciones necesarias.