Premium Addons PRO <= 2.9.12 - Authenticated (Contributor+) Stored Cross-Site Scripting via Premium Magic Scroll Module

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Premium Addons PRO, afectando a las versiones hasta la 2.9.12. Esta falla permite a usuarios autenticados con rol de contribuyente o superior inyectar scripts maliciosos a través del módulo Premium Magic Scroll.

Contexto técnico

La vulnerabilidad reside en la forma en que el módulo Premium Magic Scroll maneja la entrada de datos, lo que permite a un atacante inyectar código JavaScript que se ejecuta en el navegador de otros usuarios. Este tipo de vulnerabilidad es conocida como XSS almacenado, ya que el script malicioso se guarda y se ejecuta posteriormente cuando otros usuarios acceden a la página afectada.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar código en el contexto de la sesión de otros usuarios, lo que podría llevar al robo de información sensible, manipulación de datos o incluso la toma de control de cuentas. Esto puede afectar la confianza del usuario y la reputación del negocio.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad al crear contenido que incluye scripts maliciosos y luego inducir a otros usuarios a interactuar con dicho contenido, lo que resulta en la ejecución del script en sus navegadores.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Premium Addons PRO a la versión 2.9.13 o superior. Además, se debe realizar una revisión de los permisos de los usuarios y considerar la implementación de medidas adicionales de seguridad como la validación y sanitización de entradas.

Señales de detección

Se pueden detectar intentos de explotación mediante la monitorización de logs de acceso que muestren patrones inusuales de interacción con el módulo Premium Magic Scroll, así como la aparición de scripts no autorizados en las páginas del sitio.

Alcance afectado

Las versiones del plugin Premium Addons PRO hasta la 2.9.12 están afectadas por esta vulnerabilidad. Es crucial que los administradores de sitios que utilicen este plugin verifiquen su versión y apliquen la actualización correspondiente.