Masteriyo LMS – eLearning and Online Course Builder for WordPress <= 1.13.3 - Authenticated (Student+) Stored Cross-Site Scripting via Ask a Question Functionality

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Masteriyo LMS, que afecta a las versiones hasta la 1.13.3. Esta vulnerabilidad permite a usuarios autenticados con rol de estudiante inyectar scripts maliciosos a través de la funcionalidad 'Preguntar'.

Contexto técnico

El fallo se origina en la funcionalidad 'Preguntar' del plugin Masteriyo LMS, donde no se valida adecuadamente la entrada del usuario. Esto permite que un atacante autenticado inyecte código JavaScript en el sistema, que luego se ejecuta en el navegador de otros usuarios que visualizan la pregunta.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad de los usuarios al permitir la ejecución de scripts maliciosos. Esto podría llevar al robo de información sensible, suplantación de identidad, o la propagación de malware, afectando gravemente la reputación y la confianza en la plataforma.

Vector de explotación

Generalmente, el atacante autenticado envía una entrada manipulada a través de la funcionalidad 'Preguntar'. Cuando otros usuarios acceden a la pregunta, el script malicioso se ejecuta en su navegador.

Mitigación recomendada

Actualizar el plugin Masteriyo LMS a la versión 1.13.4 o superior. Además, se recomienda implementar medidas de validación y sanitización de entradas en todas las funcionalidades que acepten datos del usuario.

Señales de detección

Monitorear logs de actividad por entradas inusuales en la funcionalidad 'Preguntar', así como la aparición de scripts no autorizados en las respuestas de los usuarios.

Alcance afectado

Las versiones del plugin Masteriyo LMS hasta la 1.13.3 son vulnerables. Las versiones posteriores están corregidas y no presentan este problema.