GMAPS for WPBakery Page Builder Free <= 1.2 - Authenticated (Contributor+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin GMAPS for WPBakery Page Builder Free, que afecta a versiones anteriores o iguales a la 1.2. Esta vulnerabilidad permite la ejecución de scripts maliciosos en el contexto del navegador del usuario autenticado.

Contexto técnico

El fallo se produce debido a una falta de validación adecuada de las entradas en el plugin, permitiendo que un atacante con privilegios de contribuyente o superiores inyecte código JavaScript malicioso que se almacena y se ejecuta en el navegador de otros usuarios.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad de los usuarios al permitir que un atacante robe información sensible, como credenciales, o realice acciones no autorizadas en nombre del usuario afectado, lo que puede impactar negativamente en la reputación de la organización y en la confianza del cliente.

Vector de explotación

Generalmente, la explotación se lleva a cabo mediante la inyección de un script malicioso en campos de entrada que no están debidamente filtrados, lo que permite que el código se ejecute cuando otros usuarios acceden al contenido afectado.

Mitigación recomendada

Actualizar el plugin GMAPS for WPBakery Page Builder Free a la versión 1.2 o superior. Además, se recomienda implementar medidas de seguridad adicionales como la validación de entradas y la sanitización de datos en todos los formularios del sitio.

Señales de detección

Señales de riesgo incluyen la aparición de comportamientos inusuales en el sitio, como redireccionamientos no autorizados o la presencia de scripts extraños en el código fuente de las páginas.

Alcance afectado

Las versiones del plugin GMAPS for WPBakery Page Builder Free hasta la 1.2 son las afectadas. Se sugiere revisar todas las instalaciones que utilicen este plugin.