Master Currency WP <= 1.1.61 - Authenticated (Contributor+) Stored Cross-Site Scripting via Currency Converter Form Shortcode

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Master Currency WP, que afecta a versiones anteriores a la 1.1.61. Esta vulnerabilidad permite a usuarios autenticados con rol de colaborador o superior inyectar scripts maliciosos a través del shortcode del formulario de conversión de divisas.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja los datos introducidos en el formulario de conversión de divisas. Al no sanitizar adecuadamente la entrada del usuario, se permite la ejecución de scripts maliciosos en el contexto del navegador de otros usuarios que visualicen la página afectada.

Impacto potencial

El impacto potencial incluye la posibilidad de que un atacante robe información sensible de los usuarios, realice acciones en su nombre o desfigure la interfaz del sitio. Esto podría afectar la confianza del usuario y, en consecuencia, la reputación y el negocio del sitio web.

Vector de explotación

Normalmente, un atacante autenticado con el rol de colaborador o superior puede explotar esta vulnerabilidad al introducir un script malicioso en el campo del formulario de conversión de divisas, que luego se ejecutará cuando otros usuarios accedan a la página que muestra el resultado.

Mitigación recomendada

Actualizar el plugin Master Currency WP a la versión 1.1.61 o superior. Además, se recomienda revisar y sanitizar todas las entradas de usuario en el plugin para prevenir futuras vulnerabilidades similares.

Señales de detección

Señales de riesgo incluyen la aparición de scripts no autorizados en el contenido del sitio, comportamientos inusuales en la interfaz de usuario o quejas de usuarios sobre redirecciones o contenido extraño.

Alcance afectado

Las versiones del plugin Master Currency WP anteriores a la 1.1.61 son las afectadas. Es crucial que los administradores de sitios que utilicen este plugin verifiquen su versión actual.