Passster <= 4.2.6.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via content_protector Shortcode

Resumen ejecutivo

Se ha identificado una vulnerabilidad de Cross-Site Scripting (XSS) en el plugin Passster, que afecta a las versiones hasta la 4.2.6.4. Esta vulnerabilidad permite a los usuarios autenticados con rol de colaborador o superior inyectar scripts maliciosos a través de un shortcode específico.

Contexto técnico

La vulnerabilidad se encuentra en el shortcode 'content_protector' del plugin Passster. Permite a usuarios autenticados, específicamente aquellos con permisos de colaborador o superiores, almacenar código JavaScript malicioso que se ejecuta en el navegador de otros usuarios, lo que compromete la seguridad de la aplicación web.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite la ejecución de scripts en el contexto del navegador de otros usuarios. Esto puede llevar al robo de información sensible, suplantación de identidad o la propagación de malware, afectando la confianza de los usuarios y la integridad del sitio web.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad inyectando código malicioso a través del shortcode afectado, lo que se traduce en la ejecución de scripts en el navegador de otros usuarios que visitan la página afectada.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Passster a la versión 4.2.6.5 o superior. Además, es aconsejable revisar los permisos de los usuarios y limitar el acceso a funciones críticas del plugin solo a administradores.

Señales de detección

Se pueden identificar intentos de explotación observando entradas inusuales en los logs de acceso, así como la aparición de scripts no autorizados en el contenido generado por el shortcode 'content_protector'.

Alcance afectado

Las versiones del plugin Passster hasta la 4.2.6.4 están afectadas. Es crucial que los administradores de sitios que utilicen este plugin verifiquen su versión y apliquen las actualizaciones necesarias.