Property Hive Mortgage Calculator <= 1.0.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via price Parameter

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Property Hive Mortgage Calculator, afectando a las versiones hasta la 1.0.6. Este fallo permite a usuarios autenticados con rol de contribuidor o superior inyectar scripts maliciosos a través del parámetro 'price'.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja el parámetro 'price', permitiendo que los scripts maliciosos se almacenen y se ejecuten en el navegador de otros usuarios. Esto se considera una vulnerabilidad de XSS almacenada, que puede ser explotada por usuarios con privilegios adecuados.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la integridad de la aplicación y la seguridad de los datos de los usuarios. Un atacante podría robar información sensible, realizar acciones no autorizadas en nombre de otros usuarios o afectar la reputación del sitio web.

Vector de explotación

Generalmente, la explotación se realiza mediante la inyección de código JavaScript en el campo 'price', que luego se almacena y se ejecuta cuando otros usuarios acceden a la página afectada.

Mitigación recomendada

Se recomienda actualizar el plugin a la versión 1.0.7 o superior para mitigar esta vulnerabilidad. Además, se deben revisar y sanitizar adecuadamente todos los parámetros de entrada para prevenir inyecciones de código.

Señales de detección

Señales de posible explotación incluyen la aparición de scripts no autorizados en las páginas del sitio o reportes de comportamientos extraños por parte de los usuarios, así como análisis de logs que muestren accesos inusuales a la funcionalidad del plugin.

Alcance afectado

Las versiones del plugin Property Hive Mortgage Calculator hasta la 1.0.6 son las afectadas. La versión 1.0.7 y posteriores corrigen esta vulnerabilidad.