Custom Field Template <= 2.6.1 - Authenticated(Constibutor+) Stored Cross-Site Scripting via Custom Field Name

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Custom Field Template, afectando a versiones hasta la 2.6.1. Esta falla permite a usuarios autenticados con rol de colaborador o superior inyectar scripts maliciosos a través del nombre de un campo personalizado.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja los nombres de los campos personalizados, permitiendo que se inserten scripts maliciosos que se ejecutan en el navegador de otros usuarios. Esto se clasifica como un XSS almacenado, donde el código malicioso se almacena en la base de datos y se presenta a los usuarios sin la debida sanitización.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el contexto del navegador de otros usuarios, lo que podría llevar al robo de información sensible, suplantación de identidad o la distribución de malware. Esto puede afectar la reputación de la empresa y la confianza de los usuarios.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad mediante la creación de un campo personalizado con un nombre que contiene código JavaScript malicioso. Una vez guardado, cualquier usuario que visualice el campo podría ejecutar el script, permitiendo al atacante realizar acciones no autorizadas.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Custom Field Template a la versión 2.6.2 o superior. Además, se debe revisar la sanitización y validación de los datos introducidos en los campos personalizados para evitar inyecciones de código.

Señales de detección

Se pueden detectar intentos de explotación observando actividades inusuales en los registros de acceso y errores relacionados con la ejecución de scripts en el navegador. Prestar atención a cambios en los campos personalizados también puede ser un indicador.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin Custom Field Template hasta la 2.6.1. Se recomienda a los administradores de sitios que utilicen este plugin verificar la versión instalada.