Premium Addons PRO <= 2.9.12 - Authenticated (Contributor+) Stored Cross-Site Scripting via Global Badge Module

Resumen ejecutivo

La vulnerabilidad identificada en Premium Addons PRO permite la ejecución de scripts maliciosos mediante un ataque de Cross-Site Scripting (XSS) almacenado, afectando a usuarios autenticados con rol de colaborador o superior. Esta vulnerabilidad tiene una severidad media, con un CVSS de 6.4.

Contexto técnico

El fallo se origina en el módulo Global Badge del plugin Premium Addons PRO, donde los datos no son correctamente validados antes de ser almacenados. Esto permite a un atacante inyectar código JavaScript que se ejecutará en el navegador de otros usuarios autenticados, potencialmente robando información sensible.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad de la información de los usuarios y la integridad de la aplicación. Puede llevar a la suplantación de identidad y al robo de datos, afectando la confianza de los usuarios y la reputación del negocio.

Vector de explotación

Generalmente, el ataque se lleva a cabo mediante la inyección de un script en un campo que se almacena y se muestra posteriormente a otros usuarios. Los atacantes pueden aprovechar esta vulnerabilidad al engañar a un usuario con privilegios para que introduzca el código malicioso.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 2.9.13 o superior. Además, se debe revisar y validar adecuadamente todos los datos introducidos por los usuarios, implementando medidas de sanitización y escaping en la salida.

Señales de detección

Señales de posible explotación incluyen la detección de scripts inusuales en las respuestas del servidor o en el comportamiento del navegador de los usuarios, así como reportes de actividad sospechosa por parte de los usuarios afectados.

Alcance afectado

Las versiones del plugin Premium Addons PRO hasta la 2.9.12 son vulnerables. Se recomienda a todos los usuarios de estas versiones que actualicen a la versión 2.9.13 para evitar riesgos.