Quiz And Survey Master <= 8.2.2 - Authenticated (Administrator+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Quiz And Survey Master, que afecta a las versiones hasta la 8.2.2. Esta vulnerabilidad permite a un atacante autenticado ejecutar scripts maliciosos en el contexto del navegador de otros usuarios con privilegios de administrador.

Contexto técnico

La vulnerabilidad se presenta como un fallo de almacenamiento que permite la inyección de código JavaScript en las respuestas de los cuestionarios. Esto ocurre cuando los datos no son correctamente sanitizados antes de ser almacenados y posteriormente mostrados a otros usuarios. La superficie de ataque se limita a usuarios autenticados con permisos de administrador, lo que implica que el atacante debe tener acceso a la administración del sitio.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts maliciosos que pueden robar información sensible, modificar contenido o redirigir a los usuarios a sitios maliciosos. Esto podría comprometer la integridad del sitio y la confianza de los usuarios, afectando gravemente la reputación del negocio.

Vector de explotación

Generalmente, la explotación de esta vulnerabilidad se realiza mediante la creación de un cuestionario o encuesta que contenga el script malicioso. Un usuario autenticado (administrador) que visualice o interactúe con dicho cuestionario podría ejecutar el código, permitiendo al atacante llevar a cabo acciones no autorizadas en el contexto de su sesión.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Quiz And Survey Master a la versión 8.2.3 o superior. Además, es aconsejable realizar una revisión de los cuestionarios existentes para asegurarse de que no contengan scripts maliciosos y aplicar medidas de saneamiento de datos en cualquier entrada de usuario.

Señales de detección

Señales de posible explotación incluyen la aparición de scripts inusuales en las respuestas de cuestionarios, cambios no autorizados en el contenido del sitio o alertas de seguridad de otros plugins relacionados con la inyección de scripts.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 8.2.3 del plugin Quiz And Survey Master. Se recomienda a los administradores de sitios que utilicen este plugin que verifiquen su versión y apliquen las actualizaciones necesarias.