Premium Addons PRO <= 2.9.12 - Authenticated (Contributor+) Stored Cross-Site Scripting via Custom Mouse Cursor Module

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Premium Addons PRO, que afecta a las versiones hasta la 2.9.12. Este fallo permite a usuarios autenticados con rol de colaborador o superior inyectar scripts maliciosos a través del módulo de cursor de ratón personalizado.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja la entrada del usuario en el módulo de cursor de ratón, permitiendo que se almacenen scripts maliciosos que se ejecutan en el navegador de otros usuarios. Esto representa una superficie de ataque significativa, especialmente para sitios que permiten la colaboración de múltiples usuarios.

Impacto potencial

El impacto potencial de esta vulnerabilidad puede ser considerable, ya que permite a un atacante inyectar código JavaScript que podría robar información sensible, realizar acciones en nombre de otros usuarios o comprometer completamente la seguridad del sitio. Esto puede llevar a la pérdida de confianza por parte de los usuarios y daños a la reputación del negocio.

Vector de explotación

La explotación de esta vulnerabilidad generalmente requiere que el atacante tenga acceso al backend del sitio como colaborador o con un rol superior. Una vez autenticado, puede utilizar el módulo de cursor de ratón para inyectar código malicioso que se ejecutará en otros navegadores.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Premium Addons PRO a la versión 2.9.13 o superior. Además, es aconsejable revisar y restringir los permisos de los usuarios, asegurando que solo los roles necesarios tengan acceso a funcionalidades que permiten la entrada de datos.

Señales de detección

Señales de riesgo incluyen la detección de scripts inusuales en el código fuente de las páginas, así como informes de actividad sospechosa por parte de usuarios autenticados. También se deben monitorizar los logs de acceso para identificar patrones de comportamiento anómalos.

Alcance afectado

Las versiones afectadas incluyen todas las versiones del plugin Premium Addons PRO hasta la 2.9.12. Los sitios que utilizan estas versiones están en riesgo hasta que se realice la actualización.