Tutor LMS – eLearning and online course solution <= 2.6.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'tutor_instructor_list' Shortcode

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Tutor LMS, que afecta a las versiones hasta la 2.6.2. Este fallo permite a usuarios autenticados con rol de colaborador o superior inyectar scripts maliciosos a través del shortcode 'tutor_instructor_list'.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin procesa el shortcode 'tutor_instructor_list', permitiendo la inclusión de código JavaScript no validado. Esto expone a los usuarios a ataques XSS, donde un atacante puede ejecutar scripts en el navegador de otros usuarios.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante robar información sensible, realizar acciones en nombre de otros usuarios o comprometer la integridad del sitio. Esto puede derivar en pérdida de confianza por parte de los usuarios y posibles repercusiones legales.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando contenido malicioso a través del shortcode mencionado, lo que requiere que el atacante tenga acceso como usuario autenticado con rol de colaborador o superior.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Tutor LMS a la versión 2.7.0 o superior. Además, es aconsejable revisar los permisos de usuario y aplicar políticas de seguridad que limiten el acceso a funciones críticas del sitio.

Señales de detección

Se pueden detectar intentos de explotación observando comportamientos inusuales en las solicitudes HTTP que contengan el shortcode 'tutor_instructor_list', así como la aparición de scripts no autorizados en el contenido generado por el plugin.

Alcance afectado

Las versiones del plugin Tutor LMS hasta la 2.6.2 están afectadas. Se recomienda a todos los usuarios de este plugin verificar su versión y aplicar la actualización correspondiente.