Yoga Schedule Momoyoga <= 2.7.0 - Authenticated (Contributor+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin 'Yoga Schedule Momoyoga' en versiones hasta la 2.7.0. Esta vulnerabilidad permite a usuarios autenticados con rol de contribuidor o superior inyectar scripts maliciosos.

Contexto técnico

La vulnerabilidad se manifiesta como un XSS almacenado, lo que significa que los scripts maliciosos pueden ser almacenados en el servidor y ejecutarse en el navegador de otros usuarios. Esto ocurre cuando los datos no son correctamente sanitizados antes de ser mostrados en la interfaz del plugin.

Impacto potencial

El impacto potencial incluye la posibilidad de que un atacante robe información sensible de los usuarios, como cookies de sesión, o realice acciones en nombre de otros usuarios, comprometiendo la integridad del sitio web y la confianza de los usuarios.

Vector de explotación

La explotación de esta vulnerabilidad generalmente requiere que un atacante tenga acceso a una cuenta de usuario con rol de contribuidor o superior, lo que limita el vector de ataque a usuarios internos o comprometidos.

Mitigación recomendada

Actualizar el plugin 'Yoga Schedule Momoyoga' a la versión 2.8.0 o superior para mitigar el riesgo. Además, se recomienda revisar los permisos de los usuarios y aplicar prácticas de seguridad para la sanitización de entradas.

Señales de detección

Señales de posible explotación incluyen la aparición de scripts no autorizados en las respuestas del servidor, registros de actividad inusual por parte de usuarios con rol de contribuidor o superior, y alertas de seguridad en los navegadores de los usuarios.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.8.0 del plugin 'Yoga Schedule Momoyoga'.