Premium Addons PRO <= 2.9.12 - Authenticated (Contributor+) Stored Cross-Site Scripting via Multi Scroll Widget

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Premium Addons PRO, que afecta a las versiones hasta la 2.9.12. Este fallo permite a usuarios autenticados con rol de colaborador o superior inyectar scripts maliciosos a través del widget Multi Scroll.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin gestiona la entrada de datos en el widget Multi Scroll, permitiendo la inyección de código JavaScript no sanitizado. Esto lo convierte en un vector de ataque para usuarios autenticados que pueden manipular el contenido mostrado.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el navegador de otros usuarios, potencialmente robando información sensible o realizando acciones no autorizadas en su nombre. Esto puede comprometer la integridad y la confianza en la plataforma.

Vector de explotación

La explotación de esta vulnerabilidad suele realizarse mediante la creación de contenido malicioso a través del widget afectado, lo que permite a un atacante inyectar código JavaScript que se ejecutará en el contexto de otros usuarios autenticados que visiten la página afectada.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Premium Addons PRO a la versión 2.9.13 o superior. Además, se aconseja revisar las configuraciones de permisos de usuario y aplicar prácticas de desarrollo seguro para evitar la inyección de scripts.

Señales de detección

Señales de posible explotación incluyen comportamientos inusuales en la interfaz de usuario, como la aparición de contenido no autorizado o redirecciones inesperadas. También se deben monitorizar los logs de acceso para detectar actividades sospechosas de usuarios autenticados.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin Premium Addons PRO anteriores a la 2.9.13. Se recomienda a todos los usuarios de este plugin verificar la versión instalada.