Fuente base de datos: Wordfence Intelligence

Shortcodes and extra features for Phlox theme <= 2.17.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via aux_contact_box and aux_gmaps Shortcodes

PLUGIN MEDIUM CVE-2024-9545

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Auxin Elements para el tema Phlox, que afecta a las versiones hasta la 2.17.0. Esta vulnerabilidad permite a usuarios autenticados con permisos de contribuidor o superiores inyectar scripts maliciosos.

Contexto técnico

El fallo se produce a través de los shortcodes 'aux_contact_box' y 'aux_gmaps', que no gestionan adecuadamente la entrada de datos, permitiendo la ejecución de código JavaScript no autorizado. Esto amplía la superficie de ataque al permitir que un atacante con acceso limitado pueda comprometer la seguridad del sitio.

Impacto potencial

El impacto potencial incluye la posibilidad de que un atacante robe información sensible, como cookies de sesión, o realice acciones en nombre de otros usuarios. Esto puede dañar la reputación del negocio y provocar pérdidas financieras debido a la falta de confianza de los usuarios.

Vector de explotación

La explotación de esta vulnerabilidad generalmente se lleva a cabo mediante la inyección de scripts a través de los shortcodes mencionados, lo que permite la ejecución de código malicioso en el navegador de otros usuarios que acceden a la página afectada.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin Auxin Elements a la versión 2.17.1 o superior. Además, se deben revisar los permisos de usuario y limitar el acceso a funciones críticas del sitio.

Señales de detección

Señales de posible explotación incluyen la aparición de comportamientos anómalos en la interfaz de usuario, como formularios que no funcionan correctamente, o la presencia de scripts no autorizados en el código fuente de la página.

Alcance afectado

Las versiones del plugin Auxin Elements hasta la 2.17.0 son vulnerables. Se aconseja a todos los usuarios de este plugin verificar su versión y proceder a la actualización.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

auxin-elements