Funnel Kit Funnel Builder PRO <= 3.4.5 Authenticated(Contributor+) Stored Cross-Site Scripting via allow_iframe_tag_in_post (Cross-Site Scripting (XSS)) - version 3.5.0

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Funnel Kit Funnel Builder PRO, que afecta a las versiones hasta la 3.4.5. Este fallo permite a usuarios autenticados con rol de contribuidor o superior inyectar scripts maliciosos en las publicaciones.

Contexto técnico

La vulnerabilidad se encuentra en la función que permite el uso de la etiqueta 'iframe' en las publicaciones. Un atacante con acceso adecuado puede aprovechar esta función para insertar código JavaScript malicioso, que se ejecutará en el navegador de otros usuarios que visualicen la publicación afectada.

Impacto potencial

El potencial impacto incluye la posibilidad de robo de información sensible, suplantación de identidad y redirección a sitios maliciosos. Esto podría dañar la reputación de la empresa y afectar la confianza de los usuarios en el sitio web.

Vector de explotación

Normalmente, el ataque se lleva a cabo mediante la inyección de scripts a través de publicaciones que permiten la inclusión de la etiqueta 'iframe', siendo necesario que el atacante tenga al menos privilegios de contribuidor para realizar la inyección.

Mitigación recomendada

Actualizar el plugin a la versión 3.5.0 o superior, donde se ha corregido esta vulnerabilidad. Además, se recomienda revisar los permisos de los usuarios y aplicar medidas de seguridad adicionales, como firewalls y validación de entradas.

Señales de detección

Señales de alerta incluyen la aparición de comportamientos inusuales en el sitio, como redirecciones no autorizadas o la inyección de contenido no deseado en las publicaciones. Monitorear los registros de actividad de usuarios puede ayudar a identificar accesos no autorizados.

Alcance afectado

Las versiones del plugin Funnel Kit Funnel Builder PRO hasta la 3.4.5 están afectadas. Se recomienda a los administradores de sitios que utilicen este plugin verificar su versión y aplicar actualizaciones necesarias.