Watu Quiz <= 3.4.1 - Authenticated (Contributor+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Watu Quiz, afectando a versiones hasta la 3.4.1. Esta vulnerabilidad permite a usuarios autenticados con rol de colaborador o superior inyectar scripts maliciosos.

Contexto técnico

La vulnerabilidad se origina en la falta de validación adecuada de las entradas del usuario, lo que permite la inyección de código JavaScript en las respuestas de los cuestionarios. Esto puede ser explotado a través de la interfaz del plugin, afectando a otros usuarios que visualicen dicho contenido.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante robar información sensible de los usuarios o realizar acciones en nombre de ellos, comprometiendo así la integridad y la confianza en la plataforma.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad al crear preguntas o respuestas en los cuestionarios que contienen código JavaScript malicioso, que se ejecuta cuando otros usuarios acceden a esos cuestionarios.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Watu Quiz a la versión 3.4.1.1 o superior. Además, se deben implementar medidas de validación y sanitización de entradas en los formularios del plugin.

Señales de detección

Señales de posible explotación incluyen la aparición de scripts no autorizados en las respuestas de los cuestionarios y comportamientos inusuales en la interacción de usuarios con el plugin.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 3.4.1.1 del plugin Watu Quiz.