Nova Blocks by Pixelgrade <= 2.1.7 - Authenticated (Contributor+) Stored Cross-Site Scripting via align Attribute

Resumen ejecutivo

La vulnerabilidad identificada en el plugin Nova Blocks de Pixelgrade permite la ejecución de scripts maliciosos a través de un ataque de Cross-Site Scripting (XSS) almacenado, afectando a usuarios autenticados con rol de colaborador o superior. Esta falla tiene una severidad media y fue publicada el 9 de septiembre de 2024.

Contexto técnico

El fallo se origina en el atributo 'align' del plugin Nova Blocks, que no valida correctamente la entrada del usuario, permitiendo que se almacenen scripts maliciosos en la base de datos. Esto puede ser explotado cuando un usuario autenticado visualiza el contenido afectado, lo que resulta en la ejecución del script en su navegador.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad de la información del usuario y permitir a un atacante robar credenciales, realizar acciones no autorizadas o propagar malware. Esto puede tener repercusiones significativas en la reputación del negocio y la confianza del cliente.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad al inducir a un usuario autenticado a crear o editar contenido que incluya el código malicioso, que luego se ejecuta cuando otros usuarios acceden a ese contenido.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Nova Blocks a la versión 2.1.8 o superior. Además, es aconsejable revisar y limpiar cualquier contenido que pueda haber sido afectado por scripts maliciosos.

Señales de detección

Señales de posible explotación incluyen la presencia de scripts inusuales en el contenido almacenado o comportamientos anómalos en la interfaz de usuario tras la interacción con el plugin.

Alcance afectado

Las versiones del plugin Nova Blocks hasta la 2.1.7 son vulnerables. Las instalaciones que utilicen cualquier versión anterior a la 2.1.8 están en riesgo.