Solar Wizard Lite <= 1.2.4 - Authenticated (Contributor+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) almacenado en el plugin Solar Wizard Lite, afectando a versiones hasta la 1.2.4. Esta vulnerabilidad permite a usuarios autenticados con rol de colaborador o superior ejecutar scripts maliciosos en el navegador de otros usuarios.

Contexto técnico

El fallo se origina en la forma en que el plugin maneja y almacena datos introducidos por los usuarios. Al no sanitizar adecuadamente la entrada, un atacante puede inyectar código JavaScript que se ejecutará en el contexto de otros usuarios que visualicen la información afectada.

Impacto potencial

La explotación de esta vulnerabilidad podría comprometer la integridad de los datos de los usuarios y la confidencialidad de la información sensible. Además, podría dañar la reputación del negocio y generar pérdida de confianza entre los usuarios.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad mediante la creación de contenido malicioso que, al ser visualizado por otros usuarios, ejecuta el script inyectado. Esto puede ocurrir en páginas donde se muestran datos introducidos por los usuarios.

Mitigación recomendada

Actualizar el plugin Solar Wizard Lite a la versión 1.2.5 o superior. Además, se recomienda revisar y sanitizar todas las entradas de datos en el plugin para prevenir futuras inyecciones de código.

Señales de detección

Señales de riesgo incluyen comportamientos inusuales en la interacción del usuario, como redirecciones inesperadas o la aparición de contenido no autorizado en las páginas del sitio.

Alcance afectado

Las versiones del plugin Solar Wizard Lite hasta la 1.2.4 son vulnerables. Es crucial verificar la versión instalada para asegurar que se ha aplicado la actualización correspondiente.