Podlove Podcast Publisher <= 4.1.25 - Authenticated (Admin+) Stored Cross-Site Scripting via Feed Name

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Podlove Podcast Publisher, que afecta a las versiones hasta la 4.1.25. Esta vulnerabilidad permite la inyección de scripts maliciosos a través del nombre del feed, lo que podría comprometer la seguridad de las instalaciones afectadas.

Contexto técnico

La vulnerabilidad se presenta como un XSS almacenado, que se activa cuando un usuario autenticado con privilegios de administrador introduce un nombre de feed que contiene código JavaScript malicioso. Esta inyección puede ser ejecutada en el navegador de otros usuarios que visualicen el feed, lo que permite el robo de información sensible.

Impacto potencial

El impacto potencial de esta vulnerabilidad incluye la posibilidad de que un atacante robe credenciales de usuario, realice acciones en nombre de otros usuarios o comprometa la integridad del sitio. Esto puede llevar a una pérdida de confianza por parte de los usuarios y daños a la reputación del negocio.

Vector de explotación

La explotación de esta vulnerabilidad se realiza mediante la creación de un nombre de feed que contenga código JavaScript malicioso, el cual es almacenado y posteriormente ejecutado en el navegador de otros usuarios que acceden al feed afectado.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 4.2.0 o superior. Además, se sugiere revisar y sanitizar todas las entradas de usuario en el sistema para prevenir inyecciones de código malicioso.

Señales de detección

Señales de posible explotación incluyen la aparición de scripts no autorizados en las páginas del feed, así como reportes de comportamientos anómalos en la interacción de los usuarios con el sitio web.

Alcance afectado

Las versiones del plugin Podlove Podcast Publisher hasta la 4.1.25 son las afectadas. La vulnerabilidad fue publicada el 17 de enero de 2025.