Page Builder: Live Composer <= 1.5.47 - Authenticated (Author+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Live Composer Page Builder, que afecta a versiones hasta la 1.5.47. Este fallo permite la ejecución de scripts maliciosos en el contexto de un usuario autenticado con rol de autor o superior.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja las entradas de los usuarios, permitiendo que se almacenen scripts maliciosos en el servidor. Esto se traduce en un ataque de XSS almacenado, donde el código malicioso se ejecuta en el navegador de otros usuarios que acceden a la página afectada.

Impacto potencial

El impacto potencial incluye la posibilidad de que un atacante robe información sensible de los usuarios, realice acciones en nombre de otros o comprometa la integridad del sitio. Esto puede llevar a pérdida de confianza por parte de los usuarios y daños a la reputación del negocio.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando contenido malicioso a través de formularios de entrada, que luego es almacenado y se ejecuta cuando otros usuarios visitan la página afectada.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin a la versión 1.5.48 o superior. Además, se deben implementar medidas de validación y sanitización de entradas en el sitio, así como revisar los permisos de usuario para limitar el acceso a funciones críticas.

Señales de detección

Señales de posible explotación incluyen la aparición de scripts no autorizados en el código fuente de la página, comportamiento inusual en las sesiones de usuario y alertas de seguridad generadas por herramientas de análisis de seguridad.

Alcance afectado

Las versiones del plugin Live Composer Page Builder hasta la 1.5.47 están afectadas. Se recomienda a los administradores de sitios que utilicen este plugin realizar una revisión inmediata.