Automatic Translator with Google Translate <= 1.5.4 - Authenticated (Administrator+) Stored Cross-Site Scripting via Custom Font

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin 'Automatic Translator with Google Translate' en versiones anteriores a la 1.5.4. Esta vulnerabilidad permite a un administrador autenticado inyectar scripts maliciosos a través de fuentes personalizadas.

Contexto técnico

El fallo se produce debido a la falta de validación adecuada de las entradas al utilizar fuentes personalizadas, lo que permite que un atacante inyecte código JavaScript malicioso en el navegador de otros usuarios. Esto se clasifica como un XSS almacenado, ya que el código se almacena en el servidor y se ejecuta cuando otros usuarios acceden a la página afectada.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el contexto de los usuarios que visiten la página comprometida. Esto podría llevar al robo de información sensible, suplantación de identidad o manipulación de la interfaz de usuario, afectando la confianza de los usuarios y la reputación del negocio.

Vector de explotación

La explotación de esta vulnerabilidad generalmente requiere que el atacante tenga acceso como administrador al panel de WordPress, lo que limita el riesgo a entornos donde se permite el acceso a múltiples administradores. Una vez dentro, el atacante puede inyectar el código malicioso mediante la configuración de fuentes personalizadas.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin 'Automatic Translator with Google Translate' a la versión 1.5.4 o superior. Además, se debe revisar y validar la entrada de datos en cualquier funcionalidad que permita la inclusión de fuentes personalizadas. Implementar medidas de seguridad adicionales como Content Security Policy (CSP) puede ayudar a prevenir la ejecución de scripts no autorizados.

Señales de detección

Señales de posible explotación incluyen cambios no autorizados en la configuración del plugin, así como la aparición de comportamientos inusuales en la interfaz de usuario o mensajes de error relacionados con scripts en el navegador.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.5.4 del plugin 'Automatic Translator with Google Translate'.