Quiz and Survey Master (QSM) – Easy Quiz and Survey Maker <= 9.0.1 - Authenticated (Contributor+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) almacenado en el plugin Quiz and Survey Master (QSM) en versiones hasta la 9.0.1. Esta falla permite a usuarios autenticados con rol de contribuidor o superior ejecutar scripts maliciosos en el navegador de otros usuarios.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja las entradas de los usuarios, permitiendo que se almacenen scripts no validados en la base de datos. Cuando estos datos son recuperados y mostrados sin la debida sanitización, se ejecutan en el contexto del navegador de los usuarios afectados, lo que puede llevar a un compromiso de la sesión o robo de información.

Impacto potencial

El impacto puede ser significativo, ya que permite a un atacante ejecutar código malicioso en el navegador de otros usuarios, lo que podría resultar en el robo de credenciales o datos sensibles. Esto podría afectar la reputación del sitio y la confianza de los usuarios, además de posibles implicaciones legales.

Vector de explotación

La explotación de esta vulnerabilidad generalmente se realiza a través de un usuario autenticado que aprovecha la falta de validación de las entradas al crear o modificar encuestas, insertando scripts maliciosos que se almacenan y ejecutan posteriormente.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 9.0.2 o superior. Además, es aconsejable revisar y sanitizar adecuadamente todas las entradas de los usuarios, así como implementar políticas de seguridad de contenido (CSP) para reducir el riesgo de ejecución de scripts no deseados.

Señales de detección

Señales de posible explotación incluyen la aparición de scripts inusuales en las respuestas de las encuestas o en el contenido generado por los usuarios, así como comportamientos anómalos en la interacción de los usuarios con el sitio.

Alcance afectado

Las versiones del plugin Quiz and Survey Master (QSM) hasta la 9.0.1 son las que presentan esta vulnerabilidad. Se recomienda a los administradores de sitios que utilicen este plugin verificar la versión instalada.