Supreme Modules Lite – Divi Theme, Extra Theme and Divi Builder <= 2.5.3 - Authenticated (Contributor+) DOM-Based Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Supreme Modules Lite para Divi, que afecta a las versiones hasta la 2.5.3. Esta vulnerabilidad permite a un atacante autenticado ejecutar scripts maliciosos en el navegador de otros usuarios.

Contexto técnico

El fallo se origina en una mala validación de entradas en el plugin, lo que permite que un atacante que tenga un rol de contribuyente o superior inyecte código JavaScript en el DOM. Esta vulnerabilidad se clasifica como DOM-Based XSS, lo que significa que la explotación ocurre en el lado del cliente.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la integridad de la sesión de los usuarios, permitiendo a un atacante robar información sensible o realizar acciones no autorizadas en nombre de otros usuarios. Esto podría resultar en daños a la reputación del negocio y pérdida de confianza por parte de los usuarios.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando una solicitud maliciosa que incluye el código JavaScript inyectado, el cual se ejecuta cuando otros usuarios acceden a la página afectada tras haber iniciado sesión.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Supreme Modules Lite a la versión 2.5.4 o superior. Además, se sugiere revisar las configuraciones de seguridad y validar todas las entradas de usuario para prevenir inyecciones de código.

Señales de detección

Se pueden detectar intentos de explotación observando actividades inusuales en los registros de acceso, como solicitudes que contienen scripts en parámetros de entrada. También es recomendable monitorizar cambios no autorizados en el contenido del sitio.

Alcance afectado

Las versiones del plugin Supreme Modules Lite para Divi hasta la 2.5.3 son las afectadas. Se recomienda a los usuarios de estas versiones realizar la actualización de inmediato.