Poll Maker – Versus Polls, Anonymous Polls, Image Polls <= 5.4.6 - Authenticated (Administrator+) Stored Cross-Site Scripting via Poll Settings

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Poll Maker, que afecta a las versiones hasta la 5.4.6. Esta vulnerabilidad permite a un administrador autenticado inyectar scripts maliciosos a través de la configuración de encuestas.

Contexto técnico

La vulnerabilidad se manifiesta en la configuración de encuestas del plugin Poll Maker, permitiendo la inyección de código JavaScript por parte de un administrador. Esto se considera un fallo de seguridad de tipo XSS almacenado, donde el código malicioso se almacena y se ejecuta en el navegador de otros usuarios que acceden a la encuesta.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el contexto de otros usuarios, lo que podría resultar en el robo de información sensible o la manipulación de la experiencia del usuario en el sitio web. Esto puede afectar la reputación del negocio y la confianza de los usuarios.

Vector de explotación

La explotación de esta vulnerabilidad se realiza mediante la inyección de scripts maliciosos en los campos de configuración de las encuestas, que luego son ejecutados cuando otros usuarios acceden a las encuestas afectadas.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Poll Maker a la versión 5.4.7 o superior. Además, se deben revisar las configuraciones de las encuestas existentes para eliminar cualquier código malicioso potencial.

Señales de detección

Las señales que pueden indicar un riesgo de explotación incluyen la presencia de scripts no autorizados en las encuestas y comportamientos inusuales en la interacción de los usuarios con las encuestas del sitio.

Alcance afectado

Las versiones del plugin Poll Maker desde la 5.4.6 y anteriores son las afectadas. La versión 5.4.7 ha corregido esta vulnerabilidad.