Page Builder: Pagelayer – Drag and Drop website builder <= 1.8.4 - Authenticated(Contributor+) Stored Cross-Site Scripting via custom attributes

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Pagelayer, que afecta a las versiones hasta la 1.8.4. Este fallo permite a usuarios autenticados con rol de contribuyente o superior inyectar scripts maliciosos a través de atributos personalizados.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja los atributos personalizados en las páginas creadas. Un atacante que tenga acceso como contribuyente puede introducir código JavaScript que se ejecutará en el navegador de otros usuarios que visiten la página afectada, lo que puede llevar a un robo de información o a la manipulación del contenido.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite la ejecución de scripts no autorizados en la sesión de otros usuarios. Esto puede comprometer la integridad de la información y la confianza de los visitantes del sitio, afectando la reputación del negocio y su seguridad general.

Vector de explotación

Normalmente, esta vulnerabilidad se explota mediante la inyección de código malicioso en los atributos personalizados de las páginas, lo que requiere que el atacante tenga acceso como usuario autenticado con rol de contribuyente o superior.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Pagelayer a la versión 1.8.5 o superior. Además, se sugiere revisar los permisos de usuario y aplicar políticas de seguridad que limiten el acceso a roles necesarios únicamente.

Señales de detección

Señales de posible explotación incluyen la aparición de scripts no autorizados en el código fuente de las páginas generadas, así como reportes de comportamientos inusuales por parte de los usuarios en el sitio web.

Alcance afectado

Las versiones del plugin Pagelayer hasta la 1.8.4 están afectadas. Se recomienda a los administradores de sitios que utilicen este plugin verificar su versión y proceder con la actualización correspondiente.