Advanced Ads – Ad Manager & AdSense <= 1.52.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via Ad Widget

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Advanced Ads – Ad Manager & AdSense, que afecta a las versiones hasta la 1.52.1. Esta vulnerabilidad permite a usuarios autenticados con rol de colaborador o superior inyectar scripts maliciosos a través de un widget de anuncios.

Contexto técnico

El fallo se origina en la falta de validación adecuada de los datos introducidos en el widget de anuncios, lo que permite que un atacante que ya tiene acceso al panel de administración inyecte código JavaScript malicioso. Esto se traduce en un riesgo de ejecución de scripts en el navegador de otros usuarios que visualicen el contenido afectado.

Impacto potencial

La explotación de esta vulnerabilidad podría comprometer la seguridad de los usuarios finales al permitir la ejecución de scripts no autorizados, lo que podría llevar al robo de información sensible o a la redirección a sitios maliciosos. Además, puede afectar la reputación del sitio y su confianza entre los usuarios.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad al acceder al panel de administración de WordPress y utilizar el widget de anuncios para insertar código malicioso, que se ejecutará cuando otros usuarios vean el anuncio afectado.

Mitigación recomendada

Se recomienda actualizar el plugin Advanced Ads – Ad Manager & AdSense a la versión 1.52.2 o superior, donde esta vulnerabilidad ha sido corregida. Además, es aconsejable revisar los permisos de usuario y aplicar prácticas de seguridad como la validación de entradas y el uso de medidas de seguridad adicionales como firewalls.

Señales de detección

Se pueden detectar intentos de explotación observando actividades sospechosas en el panel de administración, como inserciones inusuales en el widget de anuncios o la aparición de scripts no autorizados en el código fuente de las páginas que utilizan dicho widget.

Alcance afectado

Las versiones del plugin Advanced Ads – Ad Manager & AdSense hasta la 1.52.1 son vulnerables. Es crucial que los administradores de sitios que utilicen este plugin verifiquen su versión y realicen la actualización correspondiente.