jQuery T(-) Countdown Widget <= 2.3.25 - Authenticated (Contributor+) Stored Cross-Site Scripting via tminus Shortcode

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin jQuery T(-) Countdown Widget, que afecta a las versiones hasta la 2.3.25. Esta vulnerabilidad permite la ejecución de scripts maliciosos si un usuario autenticado con rol de contribuyente o superior utiliza el shortcode tminus.

Contexto técnico

La vulnerabilidad se presenta como un XSS almacenado, donde un atacante puede inyectar código JavaScript a través del shortcode tminus. Esto ocurre cuando los datos no son correctamente sanitizados, permitiendo que el código malicioso se almacene y se ejecute en el navegador de otros usuarios que visualicen el contenido afectado.

Impacto potencial

El impacto potencial incluye la posibilidad de que un atacante robe sesiones de usuario, realice acciones no autorizadas en nombre de otros usuarios o difunda malware. Esto puede comprometer la integridad de la web y dañar la reputación del negocio.

Vector de explotación

La explotación de esta vulnerabilidad generalmente se lleva a cabo mediante la inyección de un script malicioso en el contenido que utiliza el shortcode tminus, lo que permite que el código se ejecute cuando otros usuarios acceden a la página afectada.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 2.3.25 o superior. Además, es aconsejable revisar y sanitizar adecuadamente todos los datos que se introduzcan a través de shortcodes en el futuro.

Señales de detección

Se pueden identificar intentos de explotación a través de logs de acceso que muestren patrones inusuales en el uso del shortcode tminus, así como la presencia de scripts no autorizados en el contenido generado por el plugin.

Alcance afectado

Las versiones del plugin jQuery T(-) Countdown Widget anteriores a la 2.3.25 son las que se ven afectadas por esta vulnerabilidad.