Restaurant Menu – Food Ordering System – Table Reservation <= 2.4.1 - Authenticated (Contributor+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin 'Restaurant Menu – Food Ordering System – Table Reservation' en versiones hasta la 2.4.1. Esta vulnerabilidad permite a los usuarios autenticados con rol de contribuyente o superior inyectar scripts maliciosos.

Contexto técnico

El fallo se produce debido a la falta de sanitización adecuada de los datos introducidos por el usuario en el plugin, lo que permite la inyección de código JavaScript en el contenido que se muestra a otros usuarios. La superficie de ataque se centra en las interacciones de usuarios autenticados que pueden manipular el contenido del menú.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a un atacante ejecutar scripts en el navegador de otros usuarios, lo que podría llevar al robo de información sensible, suplantación de identidad o redirección a sitios maliciosos. Esto puede tener un impacto negativo en la reputación del negocio y en la confianza de los clientes.

Vector de explotación

Generalmente, la explotación se lleva a cabo mediante la creación de un menú que contenga código JavaScript malicioso, el cual es luego visualizado por otros usuarios del sitio, permitiendo la ejecución del script en sus navegadores.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 2.4.2 o superior. Además, se debe revisar la configuración de permisos de usuario y aplicar políticas de sanitización de datos en todas las entradas del usuario.

Señales de detección

Se pueden detectar intentos de explotación mediante registros de actividad inusuales, como la creación de menús que contienen etiquetas de script o comportamientos anómalos en la interacción de los usuarios con el contenido.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.4.2 del plugin 'Restaurant Menu – Food Ordering System – Table Reservation'.