SKT Blocks – Gutenberg based Page Builder <= 1.6 - Authenticated (Contributor+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin SKT Blocks, que afecta a las versiones anteriores a la 1.7. Esta vulnerabilidad permite a los usuarios autenticados con rol de contribuyente o superior inyectar scripts maliciosos.

Contexto técnico

La vulnerabilidad se manifiesta a través de la inadecuada validación de las entradas de los usuarios, lo que permite que se almacenen scripts en el servidor. Esto puede ser explotado por atacantes que tengan acceso a cuentas con permisos de contribuyente o superiores, facilitando la ejecución de código malicioso en el navegador de otros usuarios.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el contexto de otros usuarios, lo que podría comprometer datos sensibles y la integridad del sitio web. Esto podría llevar a robo de información, suplantación de identidad y otros ataques dirigidos.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando contenido malicioso a través de formularios o campos de entrada que no están debidamente sanitizados, lo que les permite almacenar scripts en la base de datos del plugin.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin SKT Blocks a la versión 1.7 o superior. Además, es aconsejable revisar y sanitizar adecuadamente todas las entradas de los usuarios y establecer políticas de permisos más restrictivas para los roles de usuario.

Señales de detección

Se deben monitorizar los registros de actividad del sitio en busca de comportamientos inusuales, como la inyección de scripts en publicaciones o comentarios, así como alertas sobre cambios en los permisos de usuario.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.7 del plugin SKT Blocks. No se ha especificado una versión en la que se introdujo la vulnerabilidad.