Page Builder by SiteOrigin <= 2.29.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via Legacy Image Widget

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin 'Page Builder by SiteOrigin' en versiones hasta la 2.29.6. Esta falla permite a usuarios autenticados con rol de colaborador o superior inyectar scripts maliciosos a través de un widget de imagen antiguo.

Contexto técnico

La vulnerabilidad se origina en el manejo inadecuado de los datos introducidos en el widget de imagen legado del plugin. Esto permite que los atacantes, al tener acceso como colaboradores, inserten código JavaScript que se ejecuta en el navegador de otros usuarios que visiten la página afectada.

Impacto potencial

El impacto potencial de esta vulnerabilidad es considerable, ya que puede permitir a un atacante robar información sensible de los usuarios, realizar acciones no autorizadas en su nombre, o desfigurar el contenido del sitio, afectando la confianza de los usuarios y la reputación del negocio.

Vector de explotación

La explotación de esta vulnerabilidad se lleva a cabo mediante la creación de un contenido malicioso que se inserta a través del widget de imagen, el cual es posteriormente visualizado por otros usuarios en el frontend del sitio web.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin 'Page Builder by SiteOrigin' a la versión 2.29.7 o superior. Además, se sugiere revisar los permisos de los usuarios y limitar el acceso a funciones críticas del sitio.

Señales de detección

Se pueden detectar intentos de explotación observando inyecciones de scripts en el contenido generado por el widget de imagen, así como comportamientos inusuales en la interacción de los usuarios con el sitio.

Alcance afectado

Las versiones afectadas de este plugin son todas las anteriores a la 2.29.7. Se recomienda a los administradores de sitios que utilicen este plugin que realicen la actualización lo antes posible.