Quiz and Survey Master (QSM) <= 9.1.0 - Authenticated (Contributor+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Quiz and Survey Master (QSM) en versiones hasta la 9.1.0. Esta falla permite a usuarios autenticados con rol de contribuidor o superior inyectar scripts maliciosos en el contenido almacenado.

Contexto técnico

La vulnerabilidad se presenta en la forma en que el plugin maneja la entrada de datos, permitiendo que los scripts se almacenen y se ejecuten en el navegador de otros usuarios. Esto puede ser aprovechado por atacantes que tengan acceso a cuentas de contribuidor o superiores para insertar código malicioso en las encuestas o cuestionarios.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite la ejecución de scripts en el navegador de otros usuarios, lo que podría llevar al robo de información sensible o a la manipulación de la sesión del usuario. Esto puede afectar la confianza de los usuarios en el sitio y potencialmente dañar la reputación del negocio.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad mediante la creación de contenido que incluye scripts maliciosos, aprovechando su acceso como contribuidor o superior para inyectar este contenido en el sistema.

Mitigación recomendada

Se recomienda actualizar el plugin Quiz and Survey Master a la versión 9.1.1 o superior inmediatamente. Además, se sugiere revisar los permisos de usuario para limitar el acceso de contribuyentes y realizar una auditoría de seguridad para identificar posibles inyecciones de scripts en el contenido almacenado.

Señales de detección

Señales de posible explotación incluyen la aparición de scripts inusuales en las encuestas o cuestionarios, así como reportes de comportamientos extraños por parte de los usuarios en el frontend del sitio.

Alcance afectado

Las versiones afectadas del plugin son todas las anteriores a la 9.1.1. Es crucial que todos los usuarios de este plugin verifiquen su versión y apliquen la actualización correspondiente.