Fuente base de datos: Wordfence Intelligence

All in One SEO – Best WordPress SEO Plugin – Easily Improve SEO Rankings & Increase Traffic <= 4.6.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode

PLUGIN MEDIUM CVE-2024-3554

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin All in One SEO, que afecta a las versiones hasta la 4.6.0. Esta falla permite a usuarios autenticados con rol de contribuidor o superior inyectar scripts maliciosos a través de shortcodes.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin gestiona los shortcodes, permitiendo que se inserten scripts no sanitizados. Esto crea una superficie de ataque que puede ser aprovechada por usuarios autenticados para ejecutar código en el navegador de otros usuarios.

Impacto potencial

El impacto potencial incluye la posibilidad de robo de sesiones, redirección a sitios maliciosos y manipulación de contenido, lo que puede comprometer la integridad del sitio y la confianza de los usuarios. Esto puede tener repercusiones negativas en la reputación y la viabilidad del negocio.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad inyectando código JavaScript malicioso a través de shortcodes en entradas o páginas, que luego se ejecuta en el contexto del navegador de otros usuarios que visualizan el contenido afectado.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin All in One SEO a la versión 4.6.1.1 o superior. Además, se sugiere revisar los permisos de usuario y aplicar políticas de seguridad que limiten las capacidades de los usuarios autenticados.

Señales de detección

Señales de riesgo incluyen la aparición de comportamientos inusuales en el sitio, como redirecciones no autorizadas o la ejecución de scripts inesperados en el navegador, así como reportes de usuarios sobre contenido extraño o malicioso.

Alcance afectado

Las versiones del plugin All in One SEO hasta la 4.6.0 están afectadas. Se recomienda a todos los usuarios de este plugin verificar su versión y proceder a la actualización.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

all-in-one-seo-pack