Brizy – Page Builder <= 2.4.43 - Authenticated (Contributor+) Stored Cross-Site Scripting via Custom Attributes

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Brizy Page Builder, que afecta a versiones anteriores a la 2.4.44. Este fallo permite a usuarios autenticados con rol de colaborador o superior inyectar scripts maliciosos a través de atributos personalizados.

Contexto técnico

La vulnerabilidad se origina en la forma en que Brizy maneja los atributos personalizados en su interfaz. Al no sanitizar adecuadamente la entrada del usuario, se permite la inyección de código JavaScript, lo que puede llevar a la ejecución de scripts en el contexto del navegador de otros usuarios.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante autenticado ejecutar scripts en el navegador de otros usuarios, potencialmente robando información sensible o manipulando la experiencia del usuario. Esto podría afectar la reputación del negocio y la confianza de los usuarios.

Vector de explotación

Generalmente, la explotación se realiza mediante la creación de contenido que incluye atributos personalizados maliciosos, que luego son visualizados por otros usuarios. Esto requiere que el atacante tenga acceso al panel de administración del sitio.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Brizy a la versión 2.4.44 o superior. Además, se debe revisar y sanitizar adecuadamente todas las entradas de usuario en el sitio para prevenir inyecciones de código.

Señales de detección

Señales de posible explotación incluyen actividad inusual en la creación de contenido por parte de usuarios con rol de colaborador o superior, así como reportes de comportamientos extraños en la interfaz de usuario por parte de otros usuarios.

Alcance afectado

Las versiones del plugin Brizy Page Builder hasta la 2.4.43 están afectadas. Se recomienda a todos los usuarios de este plugin comprobar su versión y realizar la actualización correspondiente.