Premium Addons PRO <= 2.9.12 - Authenticated (Contributor+) Stored Cross-Site Scripting via Messenger Chat Widget

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Premium Addons PRO, que afecta a versiones anteriores a la 2.9.13. Esta vulnerabilidad permite a los atacantes autenticados inyectar scripts maliciosos a través del widget de chat Messenger.

Contexto técnico

La vulnerabilidad se presenta en el widget de chat Messenger del plugin, donde un atacante con privilegios de contribuyente o superiores puede almacenar código JavaScript malicioso. Esto se debe a la falta de validación adecuada de las entradas, lo que permite la ejecución de scripts en el contexto de la víctima.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar código en el navegador de otros usuarios autenticados. Esto podría resultar en el robo de información sensible, manipulación de sesiones o redirección a sitios maliciosos, afectando la reputación y seguridad del negocio.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad aprovechando cuentas de usuario con privilegios de contribuyente o superiores para inyectar scripts maliciosos en el widget de chat, que luego se ejecutan cuando otros usuarios interactúan con el widget.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Premium Addons PRO a la versión 2.9.13 o superior. Además, se sugiere revisar las configuraciones de seguridad del plugin y aplicar medidas de validación de entradas en los formularios.

Señales de detección

Se deben estar atentos a comportamientos inusuales en el widget de chat, así como a la aparición de scripts no autorizados en el código fuente de las páginas donde se utiliza el plugin. También es recomendable monitorizar logs de actividad de usuarios para detectar accesos sospechosos.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.9.13 del plugin Premium Addons PRO. Es crucial que los administradores de sitios que utilicen este plugin verifiquen su versión actual.