MStore API – Create Native Android & iOS Apps On The Cloud <= 4.16.4 - Authenticated (Subscriber+) HTML File Upload (Stored Cross-Site Scripting)

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin MStore API, que afecta a las versiones hasta la 4.16.4. Esta falla permite la carga de archivos HTML por usuarios autenticados, lo que podría comprometer la seguridad del sitio.

Contexto técnico

La vulnerabilidad se encuentra en la funcionalidad de carga de archivos del plugin MStore API, permitiendo a los usuarios autenticados subir archivos HTML maliciosos. Esto puede resultar en la ejecución de scripts no autorizados en el navegador de otros usuarios que visiten la página afectada, facilitando ataques XSS almacenados.

Impacto potencial

El impacto potencial de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el contexto de otros usuarios, lo que podría llevar al robo de información sensible, suplantación de identidad o redirección a sitios maliciosos. Esto podría dañar la reputación del negocio y comprometer la confianza de los usuarios.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad mediante la creación de un archivo HTML que contiene código JavaScript malicioso, el cual es subido a través de la funcionalidad de carga del plugin. Una vez almacenado, el script se ejecuta cuando otros usuarios acceden a la página donde se ha incrustado el archivo.

Mitigación recomendada

Para mitigar esta vulnerabilidad, es crucial actualizar el plugin MStore API a la versión 4.16.5 o superior. Además, se recomienda implementar medidas de seguridad adicionales, como la validación y sanitización de archivos subidos, así como la restricción de tipos de archivos permitidos.

Señales de detección

Señales de riesgo incluyen la aparición de archivos HTML no autorizados en el servidor, comportamientos inusuales en la interacción de los usuarios con el sitio, o alertas de seguridad que indiquen la ejecución de scripts no deseados en el navegador.

Alcance afectado

Las versiones del plugin MStore API hasta la 4.16.4 están afectadas. Es recomendable verificar todas las instalaciones que utilicen este plugin para asegurar que se encuentren actualizadas.