Typebot <= 3.6.0 - Authenticated (Contributor+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Typebot, afectando a versiones hasta la 3.6.0. Esta vulnerabilidad permite a usuarios autenticados con rol de Contribuyente o superior inyectar scripts maliciosos.

Contexto técnico

La vulnerabilidad se manifiesta a través de una inyección de scripts en el almacenamiento, lo que permite a un atacante ejecutar código JavaScript en el contexto del navegador de otros usuarios. Esto ocurre en el manejo de datos no sanitizados que se almacenan y posteriormente se muestran en el frontend.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite la ejecución de scripts maliciosos que pueden robar información sensible, como cookies de sesión o credenciales de usuario. Esto podría comprometer la seguridad de los usuarios y la integridad del sitio web.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad al crear contenido malicioso que es almacenado por un usuario autenticado y luego es visualizado por otros usuarios, lo que activa el script inyectado.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Typebot a la versión 3.6.1 o superior. Además, es aconsejable realizar una revisión de los permisos de usuario y aplicar medidas de sanitización y validación de datos en todas las entradas del usuario.

Señales de detección

Señales de riesgo incluyen la aparición de comportamientos inusuales en el sitio, como redirecciones inesperadas o la ejecución de scripts no autorizados. También se pueden monitorizar logs de actividad para detectar accesos inusuales por parte de usuarios autenticados.

Alcance afectado

Las versiones del plugin Typebot hasta la 3.6.0 están afectadas. Las instalaciones que no han sido actualizadas a la versión 3.6.1 o superior son vulnerables.