Powerkit – Supercharge your WordPress Site <= 2.9.1 - Authenticated(Contributor+) Stored Cross-Site Scripting via Shortcode

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Powerkit para WordPress, que afecta a las versiones hasta la 2.9.1. Esta falla permite la ejecución de scripts maliciosos en el contexto de los usuarios autenticados con rol de colaborador o superior.

Contexto técnico

El fallo se origina en el manejo inadecuado de los shortcodes en Powerkit, permitiendo que un atacante autenticado pueda inyectar código JavaScript malicioso que se ejecutará en el navegador de otros usuarios. Esto se clasifica como un XSS almacenado, dado que el código malicioso se guarda en el servidor y se presenta a los usuarios en futuras visitas.

Impacto potencial

La explotación de esta vulnerabilidad podría comprometer la seguridad de los usuarios autenticados, permitiendo a un atacante robar credenciales, realizar acciones no autorizadas o difundir malware. Esto podría afectar la reputación del negocio y la confianza de los usuarios en la plataforma.

Vector de explotación

Generalmente, la explotación se lleva a cabo mediante la creación de contenido que incluye el shortcode vulnerable, el cual es ejecutado por otros usuarios que visitan la página afectada. Un atacante con privilegios de colaborador o superiores puede insertar el código malicioso en las entradas o páginas del sitio.

Mitigación recomendada

Actualizar el plugin Powerkit a la versión 2.9.2 o superior, donde se ha corregido esta vulnerabilidad. Además, se recomienda revisar y limpiar cualquier contenido que pueda haber sido afectado por la inyección de scripts maliciosos.

Señales de detección

Señales de posible explotación incluyen la aparición de comportamientos inusuales en el sitio, como redirecciones inesperadas o la ejecución de scripts no autorizados en las sesiones de los usuarios. También se debe monitorizar el registro de actividades de los usuarios con privilegios elevados.

Alcance afectado

Las versiones del plugin Powerkit hasta la 2.9.1 son vulnerables. Se aconseja a los administradores de WordPress que verifiquen si tienen instalada esta versión o anterior.