Curator.io: Show all your social media posts in a beautiful feed. <= 1.9.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via feed_id Attribute

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Curator.io, que afecta a las versiones anteriores a la 1.9.2. Este fallo permite a usuarios autenticados con rol de contribuidor o superior inyectar scripts maliciosos a través del atributo feed_id.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin Curator.io maneja el atributo feed_id, permitiendo la inyección de código JavaScript en las páginas donde se muestra el contenido del feed. Esto puede ser explotado por usuarios autenticados que tengan permisos para modificar el contenido del feed.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante inyectar scripts que podrían robar información sensible, realizar acciones en nombre de otros usuarios o redirigir a los visitantes a sitios maliciosos. Esto pone en riesgo la integridad del sitio y la confianza de los usuarios.

Vector de explotación

Generalmente, el ataque se lleva a cabo mediante la modificación del atributo feed_id en las configuraciones del plugin por parte de un usuario autenticado, lo que resulta en la ejecución de código no autorizado en el navegador de otros usuarios que visitan la página afectada.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Curator.io a la versión 1.9.2 o superior. Además, se sugiere revisar los permisos de los usuarios y limitar el acceso a roles que realmente necesiten modificar el contenido del feed.

Señales de detección

Se deben monitorizar los registros de actividad del plugin y buscar cambios inusuales en las configuraciones del feed_id, así como la aparición de scripts no autorizados en el contenido generado por el plugin.

Alcance afectado

Las versiones del plugin Curator.io anteriores a la 1.9.2 están afectadas por esta vulnerabilidad. Es importante que los administradores de sitios que utilicen este plugin verifiquen su versión actual.