Supreme Modules Lite – Divi Theme, Extra Theme and Divi Builder <= 2.5.51 - Authenticated (Contributor+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Supreme Modules Lite para Divi y Extra Theme, que afecta a versiones anteriores a la 2.5.52. Este fallo permite a usuarios autenticados con rol de colaborador o superior inyectar scripts maliciosos.

Contexto técnico

La vulnerabilidad se manifiesta a través de la capacidad de un atacante autenticado para almacenar código JavaScript en el sistema, lo que puede ser ejecutado posteriormente por otros usuarios. Esto se debe a la falta de validación adecuada de las entradas en ciertas funcionalidades del plugin.

Impacto potencial

El impacto potencial incluye la posibilidad de robo de información sensible, suplantación de identidad de usuarios y la alteración de la funcionalidad del sitio web. Esto puede traducirse en pérdidas económicas y daños a la reputación del negocio.

Vector de explotación

Generalmente, la explotación se realiza mediante la creación de contenido malicioso que incluye scripts, el cual es almacenado en el servidor y ejecutado cuando otros usuarios acceden a la página afectada.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 2.5.52 o superior. Además, se debe revisar la configuración de permisos de usuario y considerar implementar medidas de seguridad adicionales, como la validación de entradas y la sanitización de datos.

Señales de detección

Señales que pueden indicar la explotación incluyen la aparición de comportamientos inusuales en el sitio, como redirecciones inesperadas o la inclusión de scripts no autorizados en el contenido.

Alcance afectado

Las versiones del plugin Supreme Modules Lite para Divi y Extra Theme, hasta la 2.5.51, están afectadas por esta vulnerabilidad.