Download Manager <= 3.2.86 - Authenticated (Subscriber+) Stored Self-Based Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Download Manager en versiones hasta la 3.2.86. Esta vulnerabilidad permite a usuarios autenticados con rol de suscriptor o superior ejecutar scripts maliciosos en el contexto de otros usuarios.

Contexto técnico

La vulnerabilidad se presenta como un XSS almacenado, lo que significa que el código malicioso se almacena en el servidor y se ejecuta en el navegador de los usuarios que acceden a la página afectada. Esto puede ocurrir cuando se procesan entradas no validadas adecuadamente en el plugin Download Manager.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante inyectar scripts que pueden robar información sensible, realizar acciones no autorizadas en nombre de otros usuarios o redirigir a los usuarios a sitios maliciosos. Esto podría comprometer la integridad y la confianza en el sitio web.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad mediante la creación de contenido malicioso que es enviado a otros usuarios autenticados, aprovechando la falta de validación de las entradas en el plugin.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Download Manager a la versión 3.2.87 o superior. Además, se debe revisar y validar adecuadamente todas las entradas de usuario y considerar implementar políticas de seguridad de contenido (CSP) para limitar la ejecución de scripts no autorizados.

Señales de detección

Se pueden detectar intentos de explotación observando patrones inusuales en las solicitudes que incluyen cargas útiles de scripts o comportamientos anómalos en la interacción de los usuarios con el contenido del plugin.

Alcance afectado

Las versiones del plugin Download Manager hasta la 3.2.86 son vulnerables. Se recomienda a todos los usuarios de este plugin verificar su versión y aplicar la actualización correspondiente.